Préparez-vous pour l'année des solutions prêtes à l'emploi PKI

L'ère de l'informatique quantique pratique est peut-être encore loin, mais pour les organisations qui doivent protéger des données sensibles, nous disposons enfin de normes qui peuvent être appliquées au problème de la menace que représentent les ordinateurs quantiques pratiques pour notre ensemble actuel d'algorithmes de cryptographie à clé publique.  

The National Institute of Standards and Technology (NIST) has officially finalized the first three post-quantum cryptographic algorithms coming from NIST’s Post-Quantum Cryptography (PQC) project. This includes the ML-KEM algorithm which provides a Key Encapsulation Mechanism (KEM) for sharing symmetric keys for general encryption, as well as the ML-DSA and SLH-DSA algorithms, both for use with digital signatures. A further signature algorithm FN-DSA is proposed to be issued as a draft standard at the end of the year. Previously ML-KEM, ML-DSA, SLH-DSA, FN-DSA were known as CRYSTALS-Kyber, CRYSTALS-Dilithium, SPHINCS+, and Falcon.

La finalisation de ces algorithmes signifie que les organisations peuvent maintenant commencer à mettre en œuvre des algorithmes sûrs pour la PQC dans leur infrastructure à clé publique (PKI) afin de s'assurer que les systèmes qui reposent sur des identités numériques sécurisées et l'échange de données cryptées ne soient pas brisés par le cryptage lorsque le "jour Q" arrivera enfin.

Cette publication marque un tournant pour la cybersécurité en ligne, en créant effectivement une "ligne de départ" pour les organisations qui se préparent à la CQP. Mais en réalité, les organisations qui commencent tout juste à envisager de migrer vers les nouvelles normes prennent un départ tardif dans la course à la sécurisation de l'infrastructure sur laquelle reposent leurs actifs cryptographiques.  

Most companies, as evidenced by our latest research on the state of PKI and digital trust, expect the PQC transition to take four years to complete. Those with more certificates believe that it will take an average of 6 years to transition. Underestimating the time and effort required for PQC readiness will likely lead to delays, and setbacks, something which we can all ill afford as some Government agencies have already set target dates of 2030 for the transition to PQC algorithms to be complete and it is likely now that other industry sectors will follow suit.

Cette complexité s'explique par le fait qu'une quantité importante de planification et d'essais est nécessaire pour adopter les nouveaux algorithmes de manière transparente. Les ressources nécessaires à la prise en charge de ces algorithmes, tant en termes d'espace que d'unité centrale, sont différentes de ce que nous avons connu jusqu'à présent, et l'algorithme KEM fournit un mécanisme différent de celui auquel nous sommes actuellement habitués pour coordonner l'utilisation des clés secrètes. En outre, de nombreuses organisations utilisent des bibliothèques et des applications tierces. La migration vers le PQC ne concerne donc pas seulement ce qui se fait localement dans une organisation, mais l'ensemble de la chaîne d'approvisionnement pour un produit donné doit également être pris en compte. Dès à présent, il est essentiel que toutes les évaluations de sécurité et tous les audits des fournisseurs tiennent compte de la CQP.  

Finally, it is worth considering the security aspects. While Quantum computing does not pose a direct immediate threat, highly sensitive data now may well be at risk. As top White House Cybersecurity Advisor Anne Neuberger pointed out during a recent address in London, highly sensitive data stolen today could still be a risk if it’s decrypted eight or ten years from now. With quantum computing on the horizon, Harvest Now, Decrypt Later (HNDL) is an emerging type of attack that organizations should be prepared for.  

Ce que les organisations doivent faire pour se préparer

Voici quelques mesures que les organisations peuvent prendre dès maintenant pour se préparer à la migration vers le CQP : 

• Faire l'inventaire des systèmes et identifier ceux qui sont les plus sensibles et les plus exposés 
• Examiner leurs écosystèmes d'applications dans le cadre de la planification d'une éventuelle migration 

• Mise en place d'environnements de laboratoire pour tester l'infrastructure à clé publique de PQC (PKI) et préparer la validation des signatures ( software ) pour les nouveaux algorithmes.
• S'assurer que tous les projets en cours ou nouveaux ont pris en compte la migration vers la CQP.

La transition impliquera une courbe d'apprentissage substantielle, de sorte que les organisations qui se sont préparées avant la publication des nouveaux algorithmes du NIST seront "à leur place" sur la ligne de départ et prêtes à les adopter le moment venu. Il est important que les organisations investissent dans les outils, la formation et l'acquisition d'expérience dès maintenant, si elles ne le font pas déjà.

On the tools front, at least help is here now, the marketplace has already seen many new quantum-ready PKI and signing solutions go into production this year. For example, the new capabilities in Keyfactor EJBCA Enterprise and Keyfactor SignServer Enterprise can allow organizations to issue both quantum-ready PKI certificates and existing PKI certificates in the same environment. This allows users to test how well systems work with the new standards and assess what may need to change going forward. When ready, organizations could use EJBCA to set up an ML-DSA root certificate authority (CA) and a CA to issue the first quantum-ready code, then sign it with ML-DSA in SignServer. As organizations prepare for migration to the new algorithms, these hybrid certificates are a great way to enable PQC because they offer both quantum-ready capabilities and backward compatibility with current setups. 

Keyfactorqui s'est tenu au courant du processus d'approbation du NIST, dispose de PKI et de solutions de signature prenant en charge les nouvelles normes qui seront prêtes dès leur publication officielle. Avec FIPS PUUB 204 ML-DSA, un système de signature numérique basé sur CRYSTALS-Dilithium, Keyfactor a travaillé à la fois sur l'élément software et avec Hardware Security Modules (HSM) vendeurs pour s'assurer que les produits à capacité quantique sont prêts. 

Quels que soient la plateforme et les outils choisis par les entreprises, une chose est tout à fait claire : c'est maintenant qu'il faut commencer à se préparer à un monde post-quantique.