2023 was an explosive year for cybersecurity. Talk of post-quantum cryptography heated up, with several algorithms now under consideration for standardization by NIST, IoT device usage – and with it, machine identities – continued to explode, creating a plethora of security challenges, AI became more widely available than ever before thanks to generative AI solutions, many organizations found themselves facing a security talent gap, and the list goes on.
L'année 2024 ne dérogera pas à la règle. En fait, nous verrons un grand nombre de ces tendances se concrétiser au cours de la nouvelle année, et de nombreux autres nouveaux défis émergeront. Pour en savoir plus sur ce qui nous attend en 2024, nous avons demandé à quatre experts en cybersécurité de Keyfactorde nous faire part de leurs prévisions. Voici ce que nous avons appris.
La cryptographie post-quantique va décoller
2024 sera l'année de la "préparation quantique" pour les organisations.
C'est peut-être une idée reçue, mais je pense que cette année sera celle de la cryptographie quantique.
While the initial candidates for NIST PQC algorithms are expected to be finalized in early 2024, that marks the starting line for post-quantum algorithms, not the finish line. That’s a good thing because organizations will need to do significant testing and planning to adopt the new algorithms, as they are completely different from the current ones used in asymmetric cryptography.
En 2024, les organisations doivent commencer à planifier et à tester l'adoption de ces nouveaux algorithmes et à évaluer le degré de préparation de l'ensemble de leur chaîne d'approvisionnement. À partir de ce moment, il sera impératif que les évaluations de sécurité et les audits des fournisseurs commencent à prendre en compte la cryptographie post-quantique.
- Chris Hickman, responsable de la sécurité à Keyfactor
Le protocole sera normalisé par le NIST, ce qui entraînera une accélération du développement.
Keyfactor is tracking algorithm standardization closely and will be ready to support organizations as they make the transition to the new standards, including PKI and signing solutions that leverage PQC algorithms, shortly after they are finalized by NIST.
En particulier, avec FIPS 204 Dilithium/ML-DSA, nous ne travaillons pas seulement sur software mais nous intégrons également les fournisseurs de HSM. Keyfactor sera le premier à proposer des produits quantiques prêts à la production une fois que la norme FIPS 204/ML-DSA sera finalisée.
D'une manière générale, lorsque les normes seront enfin publiées, l'année 2024 verra les fournisseurs de produits et les organismes de normalisation se précipiter dans le développement, et ce sera l'année où les solutions PKI et de signature prêtes pour le quantique seront déployées en production.
- Tomas Gustavsson, directeur général de PKI à l'adresse suivante Keyfactor
La croissance constante du site IoT posera des problèmes de sécurité permanents.
Les identités des machines - et les problèmes de sécurité qui en découlent - vont continuer à exploser.
The number of machine identities will continue to proliferate in 2024. Many organizations are experiencing significant growth among IoT devices that require network connections. Often referred to as OT for IoT, this new wave of devices will continue to push the total number of connected devices and endpoints.
Needless to say, you cannot treat these devices with any less scrutiny and security than any other devices. Unfortunately, many of these devices do not include sophisticated protocols to automate the management of their identities, and therefore organizations will struggle to keep up with this growth unless they have a machine identity lifecycle management platform.
- Chris Hickman, responsable de la sécurité à Keyfactor
Le risque que les attaquants utilisent IoT dans la cyberguerre va se concrétiser.
Many device endpoints can be leveraged in attacks if not properly secured. For some of these smart consumer devices, companies that needed to cut costs during the design process may have removed some security features, so that’s definitely something everyone needs to keep an eye on.
Si l'on examine de plus près l'espace de sécurité IoT , les fabricants devront sérieusement explorer la cryptographie post-quantique pour les dispositifs IoT qui ont une longue durée de vie.
- Ellen Boehm, vice-présidente exécutive de IoT Strategy and Operations à l'adresse suivante Keyfactor
Des réglementations qui semblaient encore lointaines deviendront réalité en 2024.
The Biden administration’s “U.S. Cyber Trust Mark” labeling program, designed to help Americans more easily choose smart devices that are safer and less vulnerable to cyberattacks, is expected to launch in 2024.
This is definitely a step in the right direction because we acknowledge a gap in cybersecurity awareness, and we need to make consumers more aware of risks. Just like we as consumers expect a certain level of quality and safety from the products we buy, consumers have the same expectation of the security that is embedded inside the smart home tech and connected devices they choose to use. As with any new program, there will be iterations, but having this conversation is important so we can start to level up and drive more awareness on a national level for U.S. consumers.
- Ellen Boehm, vice-présidente exécutive de IoT Strategy and Operations à l'adresse suivante Keyfactor
L'impact tant attendu de l'IA va se faire sentir - les bons et les mauvais côtés
L'IA va commencer à avoir un impact réel sur la cryptographie.
Selon moi, le plus grand avantage de l'IA est de réduire le "travail" global nécessaire pour casser la cryptographie. L'IA pourrait également être utilisée pour identifier efficacement des modèles dans les données ou réduire le "bruit" global qui peut être présent pour casser les clés. Par exemple, la combinaison d'un ordinateur quantique suffisamment puissant et de l'IA pourrait être utilisée pour réduire le nombre de candidats potentiels pour les attaques contre les clés.
- Chris Hickman, responsable de la sécurité à Keyfactor
L'IA jouera un rôle important dans la sécurité du site IoT - pour le meilleur et pour le pire.
L'IA peut être utilisée pour le développement de codes ou la conception de produits afin de faire progresser le développement des produits IoT et de lancer plus efficacement de nouveaux concepts.
On the flip side, AI will make it so much easier to crack weak implementations of algorithms that there will be no other choice than to use secure elements or secure MCUs to run cryptographic algorithms and to use strong software implementations of these algorithms, such as Bouncy Castle for servers and HSMs and Trusted Objects’ TO-Protect for MCUs.
- Ellen Boehm, vice-présidente exécutive de IoT Strategy and Operations à l'adresse suivante Keyfactor
L'utilisation généralisée de l'IA créera davantage d'opportunités, tout en posant de sérieuses questions sur ce en quoi nous pouvons avoir confiance.
Like any disruptive technology, AI is a double-edged sword. AI has been around for a long time, the difference now is one word: availability. Any new technology is initially expensive, not widely available, and sometimes, it’s too complex for the average person. Generative AI and large language models were the accelerators that overcame these hurdles, making AI affordable, usable, and accessible to everyone over the last year. That’s where the problems come in.
Il n'existe pas (encore) de norme sur la manière dont l'IA doit être utilisée, sur ce à quoi l'IA doit avoir accès et sur la manière d'éviter les abus. L'IA peut être un copilote ou un assistant pour les équipes de cybersécurité, en les aidant à travailler plus efficacement et à mieux comprendre le flot d'alertes et d'avertissements qu'elles reçoivent quotidiennement.
On the other hand, AI can be used to produce fraudulent images or videos, accelerate malware production, or even take DDoS attacks to the next level by enabling AI-powered bots to do the dirty work. One area where we’re most concerned is content and code authenticity. In a world where AI is accessible to all, how do you know if an image or video was produced by a human or AI, how do you know if it’s been augmented, how do you know when and where it was taken? All of these are important questions, particularly in the face of recent conflicts, which have raised questions about authenticity, and show the dangers of potential misinformation or even disinformation via content that spreads like wildfire on social media. Digital signatures are one of the best current methods to prove the origin and authenticity of images and videos.
Il en va de même pour le développement sur le site software . Si les équipes renforcent le développement avec l'IA, comment connaître la source de votre code ? Comment savoir s'il a été altéré ou modifié ? Là encore, les signatures numériques sont l'un des meilleurs outils dont nous disposons actuellement pour prouver l'intégrité et l'authenticité du code.
All of these – whether it’s images, videos, or software – are intellectual property that must be protected. We now live in a world where we can’t immediately trust what we see and hear: Everything must be verified. Authenticity is the key to establishing trust in an otherwise untrusting world.
- Ryan Sanders, directeur principal du marketing produit et client chez Keyfactor
PKI devra évoluer en même temps que les technologies post-quantique, l'IA et d'autres technologies.
La sécurité des clés cryptographiques a été l'un des principaux défis de 2023, et cette tendance se poursuivra en 2024.
Rétrospectivement, le plus grand défi de l'année écoulée reste la sécurité des clés. En 2023, un certain nombre d'incidents sont survenus à la suite du vol ou de la compromission de clés. Ces incidents ont entraîné la diffusion de logiciels malveillants, l'accès non autorisé à des réseaux et la divulgation de dizaines de milliers de courriels gouvernementaux sensibles. La tendance au vol de clés et à leur utilisation à des fins malveillantes devrait se poursuivre au cours de l'année à venir.
- Chris Hickman, responsable de la sécurité à Keyfactor
La confiance zéro sera la principale priorité PKI pour les organisations et les responsables de la sécurité, mais il ne sera pas facile d'y parvenir.
Zero trust will be top of mind for many organizations in 2024. However, the field is so large that these organizations will struggle to define the most important elements of zero trust. Further, for components like containers and Kubernetes, there are so many different options to achieve the same goal that it is hard to find best practices, and there is a risk of ad-hoc point solutions that are not efficient long term.
- Tomas Gustavsson, directeur général de PKI à l'adresse suivante Keyfactor
Les solutions ponctuelles exacerberont l'étalement urbain sur le site PKI .
PKI sprawl will continue to be a headache due to the increased need for PKI, the limited knowledge of and headcount to support PKI in organizations, and the many point solutions that are appearing on the market. These point solutions solve specific needs in the short term but fail to address organizational efficiency and lack competence to support organization-wide governance for critical security components.
- Tomas Gustavsson, directeur général de PKI à l'adresse suivante Keyfactor
La pénurie de talents en matière d'informatique et de sécurité persistera en 2024.
The talent gap continues to widen, and 2024 will show the true strain on organizations of not keeping IT security staff current and up-to-date in skills.
Grâce à l'assouplissement des conditions de travail, les travailleurs qualifiés peuvent désormais travailler pour pratiquement n'importe quelle entreprise sur la planète, ce qui pose un énorme problème aux organisations situées en dehors des grandes zones métropolitaines et à celles qui ne peuvent tout simplement pas payer les salaires de ces professionnels command.
Si l'on ajoute à cela les nouvelles préoccupations liées à des éléments tels que la migration vers la cryptographie quantique et l'IA/ML, les organisations auront besoin d'un plus grand nombre de personnes pour rester en sécurité. Or, le marché du travail n'est tout simplement pas en mesure de répondre à ce besoin.
- Chris Hickman, responsable de la sécurité à Keyfactor
S'abonner à La Source
Stay secure with Keyfactor's monthly newsletter, packed with expert insights and practical steps for quantum-readiness.
Lire la suite
La confiance est la clé de l'innovation : Une keynote incontournable aux Keyfactor Tech Days
En savoir plus
Pourquoi la sécurité fondée sur l'identité est une tendance majeure en matière de sécurité en 2021
En savoir plus