Bienvenue dans le troisième épisode de « A Walk in the Park », une nouvelle série de courtes vidéos qui explore les forces qui redéfinissent l’avenir de la confiance numérique. Au cours des cinq prochaines semaines, nous sortirons les discussions des salles de réunion pour les mener en plein air, tandis que nos experts décortiqueront certains des plus grands défis auxquels sont confrontés aujourd’hui les responsables de la sécurité. Regardez les premier,deuxième et troisième épisodes ici.
Il y a trois choses sur lesquelles on peut compter dans la vie : la mort, les impôts… et la dette cryptographique.
Les deux premiers, tout le monde les comprend. Le troisième, c'est un cadeau spécial pour les équipes de sécurité.
Pour la plupart des gens, le mot « dette » évoque l'argent. La dette cryptographique est plus simple que cela. Il s'agit de l'écart entre la cryptographie que vous utilisez réellement et celle dont vous pouvez rendre compte. Pour la plupart des organisations, cet écart est énorme.
Je tiens à être clair sur ce point, car c'est devenu, sans que l'on s'en rende compte, l'un des risques non maîtrisés les plus importants au sein des organisations aujourd'hui.
▶️ Regardez l'épisode : Ryan et moi abordons la question de la dette cryptographique dans cet épisode de « A Walk in the Park ». Ci-dessous, j'explique plus en détail ce que cela signifie et comment y remédier.
Alors, qu'est-ce que la dette cryptographique ?
Voici la version simple.
On parle de « dette cryptographique » lorsqu’une organisation ignore de quels éléments cryptographiques elle dispose : les clés, les certificats, les algorithmes, les protocoles, les bibliothèques. Ils sont partout, mais ne sont pratiquement jamais consignés par écrit.
Ce qu'on ne voit pas, on ne peut pas le gérer. Ce qu'on ne peut pas gérer représente un risque. C'est ça, la dette.
Tout s'est mis en place naturellement. Pendant près de cinquante ans, les principes mathématiques qui sous-tendent la confiance numérique ont tout simplement fonctionné. Les équipes pouvaient donc se contenter d'une approche du type « configurez-le une fois, puis n'y pensez plus ». Configurez-le une seule fois. Ne vérifiez-le que lorsqu'un problème survient.
Aujourd’hui, lorsque j’interviens dans différents environnements, je constate à chaque fois la même chose : des ressources cryptographiques dispersées dans le cloud, le réseau, les applications et la pile d’identité. Pour le dire autrement : là où il y a des données, il y a de la cryptographie. Ce qui signifie qu’elle est partout.
Pourquoi c'est important aujourd'hui
Voici le point qui passe souvent inaperçu.
On pense souvent que, puisque cette cryptographie fonctionne depuis des décennies, elle peut continuer ainsi sans problème. Ce n'est pas le cas. La raison est simple : il existe désormais un nouvel ensemble d'algorithmes résistants à l'informatique quantique vers lesquels tout le monde devra finir par migrer. Or, cette migration prend beaucoup de temps à mettre en œuvre sans perturber le fonctionnement des systèmes qui les utilisent.
Le calendrier vient également de prendre une tournure très concrète.
En mars 2026, Google s'est fixé pour échéance 2029 afin de faire migrer ses propres systèmes vers la cryptographie post-quantique. C'est plusieurs années avant les délais prévus par la plupart des recommandations. Puis, en juin 2026, la Maison Blanche a signé un décret incitant les agences fédérales à faire passer leurs systèmes à haute valeur ajoutée à un système de génération de clés post-quantique d'ici fin 2030, et à la signature des clés d'ici fin 2031. Les propres recommandations du NIST prévoient que les algorithmes actuels seront dépréciés d'ici 2030 et interdits d'ici 2035.
Il faut savoir décrypter l'ambiance. Lorsque ceux qui sont les plus proches de la mise au point d'ordinateurs quantiques annoncent qu'ils passeront à l'action d'ici 2029 ou 2030, ce ne sont pas là des promesses en l'air de la part des fournisseurs. Ce sont ceux qui ont la meilleure vue sur le précipice et qui avertissent tout le monde à quel point le bord est proche.
S'ils partent, il est temps de partir.
L'aspect que les équipes sous-estiment
Le plus difficile, ce ne sont pas les algorithmes. C'est le fait que tous ces éléments cryptographiques sont interdépendants.
Clés, certificats, algorithmes, protocoles, bibliothèques. Tous ces éléments sont interdépendants. On ne peut pas se contenter de remplacer un élément en haut de la chaîne ou un autre en bas et considérer que le problème est résolu. Si l’on modifie un élément isolément sans tenir compte du contexte, quelque chose va se briser. Quelque chose va échouer. Et cet échec aura des conséquences perturbatrices.
On ne peut donc pas traiter cela comme un poste budgétaire isolé. Il faut identifier tous les éléments qui doivent être modifiés, et les modifier simultanément. C’est ce qui rend cette dette si dangereuse. Ce n’est pas une simple facture. C’est un véritable enchevêtrement.
Par où commencer ?
Personne ne peut y arriver d'un seul coup. C'est comme essayer de faire bouillir l'océan.
Commencez par vous faire une vision globale et précise de la situation en matière de cryptographie au sein de votre organisation. Vous disposez sans doute de plusieurs outils, qui vous donnent chacun une vision partielle de la situation. Regroupez-les dans un inventaire centralisé. Évaluez ensuite cette situation par rapport à un ensemble défini de paramètres de risque. C'est ce qu'on appelle la gestion de la posture cryptographique.
Ensuite, établissez des priorités. Il n’existe pas deux organisations disposant des mêmes données ; par conséquent, aucune ne donnera la même réponse. Posez-vous les vraies questions. Quels sont mes actifs les plus critiques ? Que dois-je protéger en priorité ? Adaptez votre stratégie de cryptographie aux données et aux systèmes qu’elle protège, puis partez de là.
À long terme, il s'agit d'un investissement. Mais vous pouvez d'ores et déjà prendre des mesures, grâce aux outils et aux équipes dont vous disposez déjà, pour vous lancer.
Et chacun devrait s'y mettre dès que possible. Nous ne savons pas exactement quand cet ordinateur quantique, capable de menacer la sécurité cryptographique, fera son apparition. Plus vous serez prêt le moment venu, mieux ce sera pour vous. Les organisations qui ne se préparent pas sont celles qui finiront par exposer leurs données lors de la faille « zero-day » la plus prévisible de l'histoire de la cybersécurité.
La dette cryptographique est le problème qui sous-tend tous les autres. On ne peut pas rembourser une dette qu’on ne voit pas. Il est temps de faire le point sur la vôtre.
À suivre : rendez-vous la semaine prochaine pour le dernier épisode de « A Walk in the Park », où j'aborderai cette menace sous un angle différent : récolter maintenant, décrypter plus tard.
