La préparation à l'agilité cryptographique ne consiste pas à prédire quand les normes cryptographiques vont changer, mais plutôt à déterminer si votre organisation est en mesure de s'adapter lorsque cela se produira. À mesure que les algorithmes évoluent, que les certificats se multiplient et que la transition vers la cryptographie post-quantique se profile, les organisations ont besoin d'un moyen concret d'évaluer si leur environnement cryptographique est capable de s'adapter rapidement, en toute sécurité et à grande échelle.
La cryptographie est à la base de presque toutes les architectures de sécurité modernes, mais son niveau de sécurité se dégrade naturellement avec le temps. Les progrès en matière de cryptanalyse, l'augmentation de la puissance de calcul et les technologies émergentes telles que l'informatique quantique affaiblissent progressivement la résistance des algorithmes existants. Comme le souligne le NIST, « l'agilité cryptographique est une pratique essentielle qui devrait être adoptée à tous les niveaux, des algorithmes aux architectures d'entreprise ». Les principaux organismes de régulation ont tous souligné l'urgence d'intégrer l'agilité cryptographique dans l'infrastructure organisationnelle, notamment la Maison Blanche (NSM-10), le NIST, la CISA, le NCSC britannique et l'AIVD néerlandais.
Ce guide présente les principaux aspects de la préparation à l'agilité cryptographique et explique comment les évaluer.
Que signifie « la préparation à l'agilité cryptographique » ?
La préparation à l'agilité cryptographique mesure la capacité d'une organisation à identifier, gérer et mettre à jour rapidement ses ressources cryptographiques sans interruption. Cela inclut la rotation des certificats, la gestion des clés, ainsi que le remplacement ou la mise à jour des algorithmes et des bibliothèques.
L'agilité cryptographique, également appelée « crypto-agilité », désigne la capacité de l'infrastructure cryptographique d'une organisation à passer rapidement et efficacement d'un algorithme, d'une bibliothèque, d'une clé, d'un jeton, d'un certificat ou de tout autre actif ou protocole cryptographique à un autre, sans perturbation opérationnelle majeure. Cette flexibilité est essentielle pour maintenir la sécurité à mesure que les normes cryptographiques évoluent, notamment en réponse à de nouvelles vulnérabilités, aux avancées technologiques ou aux exigences réglementaires.
Elle met l'accent sur la capacité opérationnelle plutôt que sur les délais, reconnaissant que l'évolution cryptographique est un processus continu et non pas uniquement dicté par des événements ponctuels. Les événements susceptibles de déclencher un changement ne sont pas prévisibles. Même une fois que les algorithmes post-quantiques auront été finalisés, normalisés et déployés, les organisations pourraient devoir passer d'un algorithme à l'autre à mesure que de nouvelles découvertes émergent, susceptibles d'affaiblir la sécurité des algorithmes en place. Il y a des aspects des algorithmes post-quantiques que nous ne connaissons pas encore et que nous ne connaîtrons peut-être pas avant qu'un ordinateur quantique performant ne soit capable de lancer des attaques simulées contre eux. La crypto-agilité offre la flexibilité nécessaire pour s'adapter à l'évolution du paysage et éviter les menaces en aval.
Étape 1 : Évaluer la visibilité cryptographique
On ne peut pas adapter une cryptographie qu'on ne voit pas.
Questions clés à examiner :
- Disposez-vous d'un inventaire complet des certificats, clés et algorithmes utilisés ?
Un inventaire cryptographique est un registre dynamique, exhaustif et systématique de tous les actifs cryptographiques actuels et en évolution au sein de l'infrastructure numérique étendue d'une organisation. Il doit couvrir la cryptographie opérationnelle, software , la cryptographie réseau, la cryptographie gérée et hardware .
- Êtes-vous en mesure de détecter la cryptographie intégrée dans les pipelines CI/CD, les binaires, les bibliothèques, les appareils et les charges de travail dans le cloud ?
Les entreprises ont besoin de solutions capables de détecter les certificats, les systèmes de gestion des clés, les bibliothèques cryptographiques et les objets binaires dans les pipelines d'intégration et de déploiement continus (CI/CD), les HSM, les points de terminaison réseau, les charges de travail cloud et les équilibreurs de charge. Des sources hétérogènes peuvent « cacher » des actifs cryptographiques ; en d'autres termes, des clés, des certificats et des algorithmes peuvent être intégrés dans des applications, des systèmes de fichiers, des interfaces réseau, hardware , des services cloud et des systèmes hérités.
- Les inventaires sont-ils centralisés ou dispersés entre les équipes et les outils ?
Dans les grandes entreprises, les sous-systèmes sont souvent mis en œuvre séparément et gérés par différents groupes, ce qui se traduit généralement par une protection globale moins efficace et une visibilité fragmentée.
Le manque de visibilité constitue systématiquement le principal obstacle à l'agilité cryptographique, créant des angles morts qui masquent les risques et ralentissent les temps de réponse. L'ensemble du secteur a pris conscience qu'« on ne peut pas corriger les vulnérabilités qu'on ne voit pas ». Sans un examen complet des actifs cryptographiques, il est impossible de garantir les fondements de la confiance future. Cela inclut un examen de leur emplacement, ainsi que de leur efficacité, de la criticité et de la sensibilité des données protégées, et des garanties opérationnelles, comme nous le verrons ci-dessous.
Étape 2 : Identifier les risques cryptographiques et l'exposition à ces risques
Une fois que les actifs sont identifiés, la préparation consiste à déterminer les mesures de sécurité dont ils ont besoin et à établir un ordre de priorité parmi ceux qui sont les plus importants.
Les indicateurs de préparation comprennent :
- Capacité à identifier et à révoquer les certificats arrivant à expiration, faibles ou non conformes.
Cela inclut la détection des certificats arrivant à expiration, des certificats non conformes et auto-signés, ainsi que des certificats qui ne répondent pas aux normes de sécurité en vigueur. La notation par ordre de priorité permet aux administrateurs de hiérarchiser et de cibler efficacement les mesures correctives, en traitant en premier lieu les risques les plus critiques.
- Une vue d'ensemble des algorithmes obsolètes ou mal configurés, des paramètres non sécurisés et des clés réutilisées ou révoquées.
Les organisations ont besoin d'une visibilité sur les algorithmes, protocoles ou bibliothèques obsolètes, les tailles de clés non sécurisées, ainsi que les clés codées en dur, réutilisées ou révoquées. Les classifications de gravité cryptographique — telles que « Non conforme », « Héritage », « Conforme » et « Prêt pour la cryptographie post-quantique (PQC) » — aident à catégoriser l'état de chaque actif.
- Hiérarchisation des risques cryptographiques en fonction de leur impact sur l'activité, de leur impact technique, de la gravité des failles et du niveau de sécurité requis.
Il est essentiel de relier les actifs cryptographiques et les conclusions correspondantes aux parties prenantes et aux fonctions opérationnelles concernées. Un cadre de gestion des risques garantit que les mesures d'atténuation sont hiérarchisées en fonction des scénarios de risques critiques pour l'entreprise, notamment l'exposition du bilan et la continuité des opérations.
Les organisations qui ne sont pas en mesure d'évaluer les risques cryptographiques ont du mal à migrer efficacement leurs algorithmes ou à faire face aux nouvelles menaces. Le « Harvest Now, Decrypt Later » — dans laquelle des acteurs malveillants collectent dès maintenant des données chiffrées pour les déchiffrer lorsque des ordinateurs quantiques seront disponibles — rend cette hiérarchisation encore plus urgente pour les données ayant une longue durée de vie.
Étape 3 : Évaluer les capacités d'automatisation du cycle de vie
La flexibilité cryptographique s'effrite rapidement lorsque les modifications cryptographiques reposent sur des processus manuels.
Vérifiez si vous êtes en mesure de :
- Renouvelez, remplacez ou révoquez automatiquement des certificats à grande échelle.
Les certificats vulnérables doivent être rapidement renouvelés ou révoqués, individuellement ou en masse. L'automatisation permet un renouvellement transparent des certificats tout en prenant en charge les validations pour les actifs sensibles ou à haut risque.
- Appliquer des workflows basés sur des politiques pour les actifs à haut risque ou sensibles.
Un système centralisé de gestion des politiques cryptographiques permet aux organisations d'appliquer et de contrôler les exigences cryptographiques à l'échelle des applications et de l'infrastructure. Les politiques définissent les algorithmes autorisés, les paramètres de sécurité et les fournisseurs d'implémentations approuvées, et peuvent être modifiées pour répondre aux exigences spécifiques à chaque juridiction.
- Appliquez des modifications cryptographiques à grande échelle sans interruption de service.
Les approches manuelles sont souvent peu pratiques dans les environnements modernes, en particulier lors du déploiement d'un grand nombre de terminaux autonomes. Remplacer ou reconfigurer un seul appareil est gérable ; mettre à jour des milliers d'appareils dans des environnements distribués nécessite une automatisation capable de propager efficacement les modifications à tous les sous-composants.
Une automatisation bien conçue permet de faire passer l'agilité cryptographique de la théorie à la pratique, en particulier lors de migrations à grande échelle telles que la transition en cours vers la cryptographie post-quanta (PQC). Les systèmes d'automatisation peuvent suivre le cycle de vie des clés et des certificats cryptographiques, évaluer l'adéquation cryptographique et déclencher des modifications si nécessaire, garantissant ainsi la mise à jour de l'inventaire cryptographique en temps quasi réel.
Étape 4 : Évaluation de la flexibilité de l'algorithme et de l'état de préparation aux tests
Les organisations dotées d'une grande souplesse cryptographique partent du principe que les algorithmes évolueront à plusieurs reprises et sont prêtes à faire face à des événements imprévus.
Parmi les signes indiquant qu'il est prêt, on peut citer :
- Prise en charge de plusieurs algorithmes s'exécutant simultanément.
La flexibilité cryptographique considère les algorithmes cryptographiques comme des composants modulaires et interchangeables, permettant aux systèmes d'intégrer de manière transparente des algorithmes nouveaux ou alternatifs. Cette approche « apportez votre propre cryptographie » signifie que les fournisseurs peuvent commercialiser un seul produit à l'échelle mondiale, auprès de clients situés dans différentes juridictions, sans avoir à le repenser, le retester ou le redistribuer.
- Possibilité de tester des solutions hybrides ou exclusivement post-quantiques dans des environnements hors production.
Le NIST a publié des normes pour les algorithmes PQC, et l'IETF s'efforce actuellement de normaliser les schémas hybrides. Les organisations devraient tester dès aujourd'hui les certificats hybrides et résistants à l'informatique quantique. PKI modernes offrent désormais une prise en charge intégrée des certificats résistants à l'informatique quantique et hybrides dès leur installation.
- Réduire au minimum l'utilisation de la cryptographie intégrée en dur dans les applications et les appareils.
Une cryptographie trop ancrée engendre une rigidité systémique. Les chargeurs d'amorçage sécurisés et les racines de confiance hardware intègrent souvent des mécanismes cryptographiques fixes. Si ces mécanismes s'affaiblissent, la mise à jour software ne software plus ; la cryptographie à la racine de confiance ne peut être modifiée sans une refonte importante. En abstraisant l'utilisation des algorithmes cryptographiques, c'est-à-dire en se référant à des classes cryptographiques plutôt qu'à des implémentations spécifiques, les applications gagnent en flexibilité pour changer d'algorithmes via des politiques plutôt que par des modifications du code.
Cette flexibilité permet d'éviter la dépendance vis-à-vis d'un fournisseur et de réduire les risques en cas d'évolution future des normes cryptographiques. Les organisations devraient concevoir leurs systèmes de manière à pouvoir déployer rapidement de nouvelles solutions cryptographiques et à pouvoir développer et tester des systèmes à grande échelle en utilisant des normes cryptographiques existantes avant de les reconfigurer avec des algorithmes mis à jour.
Étape 5 : Examiner la gouvernance et les contrôles d'accès
La rapidité sans encadrement engendre de nouveaux risques. Il est essentiel, pour réussir, de pouvoir garder le contrôle et faire respecter les règles.
Principaux aspects à prendre en compte en matière de gouvernance :
- Accès aux ressources cryptographiques basé sur les rôles.
Les workflows d'approbation et l'accès basé sur les rôles doivent limiter les utilisateurs aux seuls actifs pertinents, garantissant ainsi que toutes les actions sont prescrites et vérifiables. Les organisations doivent utiliser des cadres tels que le modèle RACI (Responsable, Comptable, Consulté, Informé) pour attribuer les responsabilités en matière de cryptographie.
- Processus de validation pour les modifications sensibles.
Une gouvernance rigoureuse implique que les modifications apportées aux configurations cryptographiques passent par des chaînes d'approbation définies, en particulier celles qui affectent des actifs à haut risque ou sensibles. Un cadre de direction doit être désigné comme responsable de la gestion de la cryptographie, cette responsabilité pouvant être centralisée ou répartie en fonction des besoins de l'organisation.
- Traçabilité complète des opérations cryptographiques.
Les organisations doivent tenir un inventaire complet et en temps réel de leurs actifs cryptographiques afin de pouvoir facilement démontrer leur conformité aux exigences réglementaires et d'audit. Des tableaux de bord personnalisables et des rapports en temps réel garantissent à tout moment une vue d'ensemble de l'environnement cryptographique prête pour l'audit.
Une gouvernance solide permet d'adapter rapidement les solutions cryptographiques tout en garantissant la conformité et la responsabilité. La conformité est souvent la principale raison qui motive la mise en place d'un inventaire cryptographique, et les autorités de régulation aux États-Unis et à Singapour ont déjà publié des notes d'orientation recommandant sa mise en œuvre.
Étape 6 : Évaluer l'état de préparation de l'organisation et des compétences
La technologie à elle seule ne suffit pas à rendre une organisation agile sur le plan cryptographique.
Vérifiez si :
- Les équipes sont informées des domaines dans lesquels la cryptographie est utilisée au sein de l'environnement.
La cryptographie est omniprésente. Elle est complexe, variée et pas toujours visible. Le personnel doit comprendre l'étendue des ressources cryptographiques, des certificats et clés aux algorithmes intégrés dans les applications et les appareils.
- Les équipes concernées, telles que celles chargées de la sécurité, de la plateforme et du développement, collaborent sur les modifications cryptographiques.
Dans la pratique, la responsabilité en matière de cryptographie est répartie entre les équipes DevSecOps, informatiques, les équipes dédiées à la cryptographie, celles chargées de la conformité en matière de sécurité et les équipes métier. Chaque partie prenante a besoin de rôles clairement définis pour garantir le contrôle et la visibilité, tant en interne qu'en externe.
- Un programme est prévu pour former les équipes aux nouveaux algorithmes et aux nouvelles normes.
Le NIST a sélectionné les premiers algorithmes résistants à l'informatique quantique, chacun présentant des exigences de mise en œuvre spécifiques. Software , hardware et les services informatiques des entreprises doivent étudier comment intégrer ces algorithmes dans leurs produits et systèmes — ce qui nécessite des efforts considérables, des mises à niveau et de nouvelles compétences.
Les lacunes en matière de compétences et la confusion quant à la responsabilité sont souvent des freins cachés à l'agilité cryptographique. La cryptographie est un domaine extrêmement complexe qui compte peu d'experts. Si chaque service choisit de gérer seul sa cryptographie, cela nécessiterait des ressources considérables, ce qui pourrait s'avérer irréalisable. La mise en place d'une équipe centrale dédiée, dotée des compétences, des outils et de la source de référence faisant autorité pour les actifs cryptographiques, constitue souvent le point de départ le plus efficace.
Signes courants indiquant que votre organisation manque d'agilité cryptographique
- Les inventaires cryptographiques sont obsolètes, incomplets ou inexistants.
Sans visibilité, les fondements de la confiance numérique ne peuvent être garantis. Les données du secteur indiquent que seule une partie des actifs cryptographiques peut être identifiée à l'aide des outils d'automatisation actuels. Le reste nécessite une intervention manuelle, et de nombreuses organisations n'ont même pas encore commencé.
- Les problèmes liés aux certificats ne sont détectés qu'une fois que des défaillances se sont produites.
Une détection réactive témoigne d'un manque de surveillance automatisée et de gestion du cycle de vie. Les organisations qui ne disposent pas d'un système de scan et d'alerte en continu opèrent à l'aveuglette.
- Les modifications d'algorithmes nécessitent des correctifs d'urgence, la réécriture des applications ou une refonte complète.
C'est là un symptôme d'une cryptographie figée et codée en dur. De nombreuses organisations ont mis plusieurs années à passer de SHA-1 à SHA-2, et le passage aux algorithmes post-quantiques se situe à une échelle tout à fait différente.
- La création de rapports de conformité est un processus manuel et chronophage.
Sans tableaux de bord centralisés ni rapports automatisés, la démonstration de la conformité devient une tâche qui mobilise d'importantes ressources et épuise les équipes de sécurité.
Ces symptômes révèlent des problèmes structurels qui doivent être résolus avant toute transition cryptographique majeure. Le défi que représente la mise en place d'une sécurité quantique est encore compliqué par l'utilisation de hardware de software différents fournisseurs, par la complexité des architectures et par les dépendances vis-à-vis de tiers.
Que faire après votre évaluation de l'agilité cryptographique ?
Une évaluation devrait déboucher directement sur des mesures concrètes :
- Combler les lacunes en matière de visibilité grâce à une découverte à l'échelle de l'entreprise.
La découverte cryptographique est la première étape cruciale. Cette étape est imposée par la Maison Blanche aux agences fédérales et recommandée par les agences de cybersécurité du monde entier. Déployez des outils de découverte automatisés capables de localiser les certificats, les clés, les algorithmes, les bibliothèques et les protocoles sur l'ensemble de l'infrastructure.
- Réduisez les tâches manuelles grâce à l'automatisation du cycle de vie.
Mettez en place des processus automatisés pour le renouvellement, la délivrance et la révocation des certificats. L'automatisation permet à l'équipe de sécurité de réagir aux menaces, de prévenir les interruptions de service, de faciliter la production de rapports de conformité et de mener des analyses forensiques.
- Mettre en place des politiques et une gouvernance centralisées pour la gestion des changements cryptographiques.
Définir les algorithmes autorisés, les paramètres de sécurité et les implémentations approuvées grâce à une gestion centralisée des politiques. Diffuser les politiques dans toutes les applications via des mécanismes de mise à jour sécurisés.
- Commencez à tester de manière contrôlée de nouveaux algorithmes lorsque cela s'avère nécessaire.
Commencer à tester des solutions hybrides et exclusivement post-quantiques dans des environnements hors production. Tirer parti des solutions PKI de signature qui offrent une prise en charge intégrée des certificats résistants à l'informatique quantique.
- Renforcer la modularisation, en faisant en sorte que les applications fassent appel à des classes cryptographiques plutôt qu’à des algorithmes spécifiques.
Cette abstraction dissocie les applications des algorithmes particuliers, permettant une migration transparente vers de futurs algorithmes et offrant la flexibilité nécessaire pour satisfaire aux exigences en matière de cryptographie souveraine. À titre d'exemple, l'application utilise la référence « signature numérique » plutôt que de spécifier un algorithme particulier tel que « ML-DSA-44 ».
L'amélioration de la flexibilité cryptographique se fait par étapes, mais chacune d'entre elles réduit les risques et renforce la résilience. Comme le soulignent les auteurs du *PQC Migration Handbook* : « Une gestion et un suivi adéquats de la cryptographie aident non seulement une organisation à faciliter la migration vers la cryptographie post-quantum (PQC), mais aussi à atténuer les risques liés à la cryptographie en général. »
Assurer la préparation à l'agilité cryptographique avecKeyfactor
Évaluer le niveau de préparation de votre organisation en matière d'agilité cryptographique n'est qu'une première étape. Pour combler les lacunes en matière de visibilité, d'automatisation et de gouvernance mises en évidence par cette évaluation, il faut des solutions spécialement conçues pour fonctionner à l'échelle de l'entreprise. Sans les outils adéquats, même les plans de préparation les mieux intentionnés risquent de s'enliser dès la phase de mise en œuvre.
CommentKeyfactor la préparation à l'agilité cryptographique
- Recherche à l'échelle de l'entreprise des certificats et des identités des machines.
Keyfactor Command, associé à AgileSec Analytics, fournit un inventaire complet des actifs cryptographiques d’une organisation. Les capacités de découverte couvrent les certificats, les systèmes de gestion des clés, les bibliothèques cryptographiques, les objets binaires dans les pipelines CI/CD, les HSM, les terminaux réseau, les charges de travail cloud et les équilibreurs de charge.
- PKI centralisée PKI automatisation du cycle de vie des certificats.
Keyfactor Command un inventaire à l'échelle de l'entreprise de toutes les autorités de certification et identités de machines, ce qui facilite l'identification des certificats et des algorithmes utilisés, ainsi que la définition de politiques et de workflows automatisés. EJBCA, une PKI moderne, offre une prise en charge intégrée pour l'émission de certificats résistants à l'informatique quantique et de certificats hybrides.
- Une visibilité axée sur les risques concernant les algorithmes, l'utilisation des clés et le niveau de conformité.
AgileSec Analytics détecte de manière proactive les vulnérabilités cryptographiques potentielles, les utilisations abusives ou les violations de conformité, et les classe par ordre de priorité en fonction d'un score de gravité technique. Les administrateurs peuvent ainsi cibler efficacement les mesures correctives, en traitant en premier lieu les risques les plus critiques.
- Flux de travail basés sur des politiques et contrôles d'accès par rôle.
La solution intégrée met en œuvre des workflows d'approbation et un accès basé sur les rôles afin de limiter les utilisateurs aux seules ressources pertinentes. Toutes les actions sont prédéfinies et vérifiables, ce qui garantit la conformité tout en permettant une mise à jour rapide de la cryptographie.
- Prise en charge des tests de cryptographie hybride et post-quantique.
Keyfactor EJBCA une prise en charge intégrée pour tester les certificats hybrides et post-quantiques dès l'installation. Le Bouncy Castle (Java et C#) permettent aux équipes d’implémenter dès aujourd’hui des algorithmes PQC dans leurs produits.SignServer la signature numérique de code et d’artefacts à l’aide des algorithmes PQC du NIST.
Conséquences opérationnelles
- Réduction des tâches manuelles : La détection automatisée des actifs cryptographiques et l'analyse des vulnérabilités éliminent toute intervention manuelle et garantissent une protection continue.
- Migration plus rapide des algorithmes : Les processus automatisés de renouvellement et de provisionnement des certificats garantissent une transition en douceur vers les algorithmes PQC à grande échelle, sans interruption.
- Réduction du risque d'interruption de service : La surveillance continue et la gestion automatisée du cycle de vie permettent d'éviter les interruptions liées aux certificats avant qu'elles ne se produisent.
- Meilleure préparation aux audits : des tableaux de bord personnalisables et des rapports en temps réel offrent une vue claire et prête pour l'audit de l'ensemble de l'environnement cryptographique.
Prêt à passer de l'évaluation à l'action ? Découvrez commentKeyfactor vous aiderKeyfactor accélérer votre transition vers l'agilité cryptographique :
État de préparation à la crypto-agilité Foire aux questions
À quelle fréquence les organisations doivent-elles évaluer leur état de préparation en matière d'agilité cryptographique ?
Au moins une fois par an, ou chaque fois que des changements majeurs surviennent au niveau de l'infrastructure, de la réglementation ou de la cryptographie. Étant donné que de nouvelles vulnérabilités liées à la cryptographie (CVE et CWE) sont ajoutées en permanence et que les environnements réglementaires évoluent, une réévaluation régulière permet de s'assurer que la préparation reste en phase avec le paysage des menaces.
La préparation à l'agilité cryptographique concerne-t-elle uniquement la cryptographie post-quantique ?
Non. La cryptographie post-quantique (PQC) est un facteur déterminant, mais l'agilité cryptographique s'applique également aux cycles de vie des certificats, aux exigences de conformité et aux vulnérabilités émergentes. Comme l'indiquent l'AIVD et les instituts de recherche néerlandais, « non seulement l'agilité cryptographique facilite une migration en douceur vers la cryptographie post-quantique, mais elle aide également à gérer la cryptographie en général ». Les changements d'algorithmes, les expirations de certificats, les évolutions réglementaires et les failles nouvellement découvertes exigent tous la même flexibilité opérationnelle.
Les petites et moyennes entreprises peuvent-elles faire preuve d'agilité cryptographique ?
Oui. La capacité à s'adapter dépend de la visibilité, de l'automatisation et de la gouvernance, et non de la taille de l'organisation. Les principes de découverte cryptographique, d'automatisation du cycle de vie, de gestion centralisée des politiques et de gouvernance s'appliquent à toutes les échelles. Il existe désormais des outils dédiés à la découverte cryptographique qui peuvent remplacer les tâches manuelles fastidieuses, rendant ainsi l'agilité cryptographique de niveau entreprise accessible aux organisations de toutes tailles.
