4-Sight : Comment préparer votre organisation à la cryptographie post-quantique

The clock is ticking. As quantum computing advances, now is the time to prepare for post-quantum cryptography, or PQC. 

Pour être prêtes, les organisations doivent disposer d'un plan de transition qui inclut les contributions et le soutien de l'ensemble de l'entreprise. En gardant une longueur d'avance sur la dette technique et en se tenant au courant de l'évolution des réglementations, l'organisation pourra changer d'état d'esprit pour s'adapter aux nouvelles réalités d'un avenir post-quantique. 

Some experts predict that PQC could arrive in as few as five years, so the time to act is now.

Pourquoi il est judicieux de commencer à se moderniser 

• Prepare for Harvest Now threats. Well-resourced nation-state actors are using Harvest Now Decrypt Later attacks to steal encrypted files today and holding on to them until they can decrypt them.
• Readiness is a moving target. Even though PQC guidelines are evolving, bad actors are continuously innovating, and for large organizations, it can take years to develop an agile approach that can adapt constantly.
• Il n'y a pas de modèle ! Chaque plan est personnalisé, avec des mesures et des étapes uniques, et ne peut être élaboré en vase clos.
• Le temps passe vite. Selon des estimations récentes, des ordinateurs quantiques capables de casser RSA-2049 pourraient apparaître dès 2035, ce qui laisse moins d'une décennie pour réaliser des transitions à grande échelle.

4 étapes pour se préparer 

Beginning to modernize PKI today makes strategic sense for several reasons. In fact, Keyfactor has found that successful post-quantum readiness isn’t just a PKI challenge – it’s an organization-wide transformation. True crypto-agility requires cross-functional collaboration across security, IT, legal, compliance, and product teams.

Cette approche à l'échelle de l'entreprise améliore l'inventaire des actifs, l'évaluation des risques, la formation et la réponse aux incidents, tout en réduisant l'exposition aux menaces futures. En alignant les équipes dès maintenant, les organisations peuvent accélérer la modernisation de l'PKI et garder une longueur d'avance dans leur parcours PQC.

Première étape : découverte et inventaire

Cela peut vous surprendre, mais de nombreuses organisations ne disposent toujours pas d'un inventaire complet de leurs actifs cryptographiques, bien qu'elles aient affaire à un ensemble complexe de certificats numériques, de clés privées, d'algorithmes et de protocoles.

Taking inventory is crucial in making a transformation plan that encompasses the whole infrastructure. Look for the public key infrastructure (PKI) components, including certificates and keys, and don’t forget to account for embedded cryptography in applications and devices, as these algorithms will need to be updated too. Legacy systems demand special attention, as they often rely on outdated security configurations; the cryptography they employ may already fall short of existing best practices and standards. Depending on the sector of your enterprise, operational technology (OT) systems that support machinery, physical devices, and hardware should also be included in the inventory.

Même pour les petites organisations, faire l'inventaire peut devenir rapidement complexe, il est donc important d'obtenir de l'aide. Les outils de découverte cryptographique peuvent aider à identifier les actifs à grande échelle, en signalant les plus vulnérables. Ces outils peuvent également aider à repérer les cas d'informatique parallèle (shadow IT), c'est-à-dire l'utilisation de software et/ou de hardware non autorisés en dehors des attributions officielles du service informatique, au sein de votre organisation. Cette utilisation, même si elle est souvent bien intentionnée, pose un problème de sécurité qui mérite d'être pris en considération. Le processus de transformation PQC est le moment idéal pour combler ces lacunes potentielles et renforcer la posture de sécurité globale de votre organisation.

Une fois que vous aurez dressé l'inventaire complet et que vous aurez une idée claire des systèmes qui exigent une action en premier lieu, vous serez en mesure de compiler le plan de migration en conséquence, en commençant par les actifs devant faire l'objet d'une correction urgente et en terminant par les protocoles et les certificats moins prioritaires devant faire l'objet d'une "migration ultérieure". Les actifs les plus prioritaires et les plus exposés exigeront une position prioritaire dans la file d'attente de mise à niveau des algorithmes de cryptographie. 

Deuxième étape : triage de la mise en œuvre des solutions Crypto-Agile

Following the principles of crypto-agility when adopting or orchestrating your cryptography architecture will allow all parts of the ecosystem to support current and post-quantum cryptography algorithms during the transition period. During the discovery and inventory step, you prioritized the key systems for the PQC migration. These systems will require dual certificates (post-quantum as well as traditional) to maintain backwards compatibility before the transformation is complete.

The highest priority systems typically support long device lifespans, including Internet of Things (IoT) devices and firmware. Next-gen connected vehicles, in the automotive sector, are a perfect example, whose direct impact on the safety of human operators demands the highest standards of security even before the quantum era dawns. In the healthcare sector, “smart” pacemakers are another―by virtue of their placement they aren’t easily accessed once operational and thus need to be able to receive updates over the air with all the safeguards appropriate for the level of care they provide. 

Les systèmes qui contiennent des données hautement sensibles, propriétaires et critiques pour l'entreprise devraient également figurer en haut de la liste des priorités. La cryptographie qui assure la sécurité de ces données doit migrer vers des algorithmes post-quantiques le plus tôt possible afin de prévenir les attaques HNDL.

Troisième étape : Automatisation de la gestion des certificats numériques

Le passage à la cryptographie post-quantique ne débarrasse pas les entreprises de la complexité de la gestion de l'PKI . La gestion manuelle des certificats n'est pas adaptée aujourd'hui au niveau de l'entreprise ; il est donc peu probable qu'elle soit viable à l'ère de la PQC.

It is not just a question of volume. Certificate lifespans are expected to be as short as 47 days by 2029, making manual PKI management, frankly, a dangerous idea. The algorithmic complexity of post-quantum certificates will increase substantially, too, making automated solutions essential to tracking a complete cryptographic inventory.

To maintain business continuity and cryptographic integrity, a post-quantum transformation plan should include transitioning to automated certificate issuance, renewal, and replacement, if such tools aren’t in place already. While there are many PKI solutions on the market, choose one, such as Keyfactor EJBCA, that provides governance, role-based access, and detailed audit logs to maintain compliance and reduce operational risk.

Quatrième étape : Gouvernance continue de la cryptographie postquantique

La préparation post-quantique est complexe et la mise en œuvre de la PQC est une stratégie vivante qui nécessite une mise à jour permanente. Pour être prêt à l'emploi, il faut une gouvernance permanente, une surveillance des risques et une hygiène cryptographique conforme aux principes de la crypto-agilité.

Parmi les meilleures pratiques pour maintenir un profil de risque à jour, on peut citer l'établissement et la révision régulière de politiques de dépréciation des algorithmes, la rotation périodique des clés et les mécanismes de repli en cas de faiblesses algorithmiques imprévues ou nouvellement découvertes. La clé pour rester prêt pour le quantique est d'être prêt à s'adapter.

Les algorithmes de sécurité quantique évoluent constamment, et vos politiques et protocoles doivent en faire autant. Ceux-ci devraient inclure la formation et l'éducation du personnel, ainsi que des critères spécifiques à l'expertise PQC lors du recrutement pour les postes de sécurité et d'informatique. Le maintien de la participation et de l'adhésion de l'ensemble de l'organisation à la préparation quantique est essentiel au succès continu de l'initiative.

Conclusion : Moderniser dès maintenant pour l'ère postquantique

Il est temps de préparer votre entreprise à l'avenir. Se préparer à la cryptographie post-quantique est un défi difficile à relever, mais c'est aussi l'occasion de réévaluer et de moderniser votre infrastructure cryptographique. Les criminels font évoluer leurs techniques. Les entreprises doivent en faire autant.

Contactez Keyfactor pour des outils et une expertise éprouvés afin de naviguer dans les risques de sécurité à venir de l'informatique quantique.