Les progrès rapides de l'informatique quantique entraînent l'un des changements technologiques les plus fondamentaux dans le domaine de la cryptographie et de la sécurité des données.
Alors que l'ère des PQCou cryptographie post-quantique, se rapproche, le besoin de cryptographie résistante au quantum dans les entreprises va monter en flèche. Ces changements influencent déjà les feuilles de route et les délais de mise en conformité. Ce n'est pas surprenant, car la complexité de la mise en œuvre d'une cryptographie résistante au quantum exige une approche progressive et axée sur les risques. Et c'est une approche que vous devez commencer dès aujourd'hui.
Les deux piliers de cette approche sont l'adaptation de l'infrastructure existante à la crypto-agilité et l'introduction de certificats hybrides positionnés en fonction de la criticité des données. Se préparer aux changements à venir permettra d'assurer une transition en douceur des anciens algorithmes cryptographiques vers la cryptographie post-quantique de l'avenir.
Réaliser un inventaire basé sur les risques
La première étape de la mise en œuvre d'une cryptographie résistante au quantum consiste à réaliser un inventaire complet de l'PKI de l'organisation. Cela comprend les certificats numériques, les clés de sécurité, les protocoles, les bibliothèques de données et tous les dispositifs liés à la chaîne de confiance de l'PKI . Une fois catalogué, chaque actif doit être classé en fonction de trois facteurs clés :
-
Sensibilité des données qu'il protège
-
Durée de vie prévue des données ou durée pendant laquelle elles doivent rester confidentielles
-
Risque et impact de l'exposition potentielle des données
Les principales priorités en matière de protection contre les risques quantiques sont généralement les suivantes
-
Clés de l'autorité de certification (AC) racine et émettrice
-
Systèmes d'authentification des clients
-
Plateformes de signature de microprogrammes pour lIoT
-
Systèmes de signature de documents à long terme
Ces actifs sont essentiels dans l'écosystème PKI et comportent de graves risques opérationnels s'ils sont compromis.
Commencez par identifier les algorithmes cryptographiques utilisés, en donnant la priorité aux actifs à haut risque. Prêtez une attention particulière aux délais d'expiration des certificats (certains peuvent durer de 5 à 10 ans, ce qui peut dépasser le délai de mise en œuvre de la PQC du NIST). Il est essentiel de suivre l'évolution des normes et d'aligner les cycles de vie des certificats en conséquence.
Les systèmes en interface avec des partenaires externes doivent faire l'objet d'une attention particulière. Ces systèmes périphériques doivent faire l'objet de mises à jour coordonnées pour assurer la compatibilité avec la cryptographie hybride et de tests continus pour garantir le maintien de leur fonctionnalité pendant la transition.
Adapter la protection au niveau de risque
Le nombre d'actifs gérés par une organisation est énorme, ce qui nécessite un triage de la mise en œuvre et une approche hiérarchisée de la protection. Les classifications effectuées au stade de l'inventaire guideront l'application des protections cryptographiques proportionnellement à la sensibilité et au risque d'exposition de chaque bien.
Les trois catégories suivantes donnent une idée générale des protections à privilégier pour vos données, tout en sachant que les actifs de chaque organisation sont uniques et que les besoins peuvent différer :
- Protection requise maintenant: Les systèmes ayant des exigences de confidentialité à long terme (tels que les systèmes juridiques, financiers, de santé et de propriété intellectuelle stratégique), étant donné qu'ils sont les plus exposés au risque de piratage. Récolter maintenant Décrypter plus tard attaques.
- Transition par le biais de certificats hybrides ou de CQP: Systèmes à risque moyen qui nécessitent encore une validation par certificat classique pour des raisons de compatibilité.
- Cryptographie classique agile permettant de changer rapidement d'algorithmeles données à faible risque et les transactions de courte durée.
À chaque phase de mise en œuvre pour chaque niveau de risque, continuez à documenter votre posture de sécurité pour répondre aux exigences réglementaires.
Adopter une approche hybride de la cryptographie résistante aux quanta
Une approche hybride, qui implique des certificats hybrides pouvant prendre en charge à la fois les anciens algorithmes et les algorithmes PQC, constitue une étape pratique et pragmatique vers la cryptographie post-quantique. Cependant, les organisations ne doivent pas se reposer entièrement sur cette stratégie, car la dépréciation des algorithmes bientôt obsolètes nécessitera l'abandon progressif des PKI vulnérables.
Un certificat hybride est un certificat qui contient deux signatures d'algorithme : l'une classique et l'autre post-quantique, ce qui garantit une compatibilité ascendante avec les clients existants tout en fournissant un chiffrement résistant au quantum là où il est déjà pris en charge. Cette structure à double pile permet une transition progressive qui peut être mise en œuvre par étapes. Vous pouvez commencer à émettre des certificats hybrides dans des systèmes internes où vous contrôlez à la fois le client et le serveur, tels que le système TLS mutuel (mTLS) au sein de votre réseau. Avant de mettre à jour les certificats et de les remplacer par des certificats hybrides dans d'autres systèmes, assurez-vous de connaître les types spécifiques de certifications hybrides pris en charge par ces systèmes.
Il est également important de noter que les certificats hybrides ont tendance à augmenter en taille par rapport aux anciens certificats en raison du nombre d'octets de l'algorithme post-quantique, qui peut être important dans certaines signatures post-quantiques telles que les signatures ML-DSA. Ces signatures peuvent potentiellement se briser dans les systèmes existants, c'est pourquoi une approche progressive est l'une des façons les plus sûres de procéder.
La plupart des PKI bien architecturées peuvent être mises à niveau progressivement, sans qu'il soit nécessaire de tout remplacer d'un coup. Pour faciliter le processus, il convient d'envisager des AC qui prennent en charge des profils cryptographiques incluant des algorithmes hybrides et PQC, et qui intègrent des moteurs de politiques capables d'attribuer des algorithmes (classiques, hybrides ou PQC) en fonction du cas d'utilisation, de l'environnement ou de l'étage du système.
A ce stade, l'automatisation des certificats n'est pas seulement un avantage pour une entreprise, mais une réalité nécessaire qui garantit le renouvellement, la rotation et la révocation corrects des certificats à l'échelle. Elle est d'autant plus vitale que les déploiements hybrides augmentent considérablement la complexité. L'automatisation vous aidera également à vous adapter aux changements en cours et à répondre aux inconnues. C'est pourquoi il faut éviter d'utiliser des jetons ou des clés cryptographiques codés en dur, qui compliqueront les changements en aval et les rendront nettement plus coûteux.
Priorité à l'interopérabilité et à la conformité
L'interopérabilité est l'un des principaux L'PKI est l'un des principaux défis permanents de l'PKI. Voici quelques conseils pour vous assurer que l'interopérabilité fait partie intégrante de votre système PKI prêt pour la CQP :
- Éviter d'utiliser des algorithmes et des protocoles propriétaires, sauf s'il n'y a pas d'autres solutions.
- Suivre de près le processus de normalisation des CQP du NIST, car les formats et les API continuent d'évoluer et l'on ne sait pas encore quelle sera la norme industrielle à l'horizon 2030-2035.
- Suivre les efforts de l'IETF en matière de les extensions de certificats hybrides X.509 et l'intégration de TLS 1.3 pour l'échange de clés PQC
- Créez une matrice de compatibilité interne et effectuez des tests multiplateformes, en particulier si vous desservez plusieurs domaines géographiques ou réglementaires.
- Surveillez les organismes de réglementation compétents pour garder une longueur d'avance sur les mandats de mise en conformité ; nombre d'entre eux publient des cadres de préparation aux CQP et des orientations sectorielles pour aider les entreprises à se préparer.
Diriger par la gouvernance, la formation et une communication claire
L'adoption de la PQC et la crypto-agilité exigent un changement de politique, de protocoles et d'état d'esprit à l'échelle de l'entreprise. Confiez la responsabilité de la planification de la transition vers la PQC à un groupe interfonctionnel comprenant des acteurs de l'architecture de sécurité, des opérations PKI , de la conformité et de l'approvisionnement, qui seront alors en mesure de communiquer clairement la feuille de route vers une cryptographie résistante aux quanta dans tous les domaines techniques et commerciaux. La préparation de la PQC est un effort de continuité de la confiance, et le fait de l'encadrer comme tel contribuera à garantir le financement et l'adhésion de la direction générale.
Soutenez également le personnel dans cette transition. Formez les développeurs et les ingénieurs en sécurité aux formats hybrides, aux compromis en matière de performances des algorithmes et aux pièges les plus courants en matière de compatibilité. Au fur et à mesure que le déploiement de la CQP se met en place, mettez à jour vos politiques cryptographiques pour refléter les nouvelles règles d'émission d'hybrides, les délais d'obsolescence des algorithmes et les processus de traitement des exceptions.
Conclusion
Le chemin vers la mise en œuvre d'une cryptographie résistante au quantum peut être long et complexe, mais la préparation, le bon état d'esprit et le choix des bons partenaires contribueront grandement à assurer une transition sans heurts vers la PQC.
Keyfactor est un partenaire de confiance prêt à mener votre organisation à travers la transition PQC. Ensemble, nous pouvons protéger votre infrastructure contre les adversaires de demain tout en maintenant la continuité, la conformité et la confiance aujourd'hui. Commencez dès aujourd'hui votre voyage vers la crypto-agilité - notre équipe est là pour vous aider..
