Mise en œuvre de la cryptographie résistante aux quanta : Étapes clés

Les progrès rapides de l'informatique quantique entraînent l'un des changements technologiques les plus fondamentaux dans le domaine de la cryptographie et de la sécurité des données.

As the era of PQC, or post-quantum cryptography, draws nearer, the need for quantum-resistant cryptography across enterprises will skyrocket. These changes are already influencing roadmaps and compliance timelines. This is not surprising, as the complexity of implementing quantum-resistant cryptography demands a phased, risk-aligned approach. And it’s one that you need to begin today.

Les deux piliers de cette approche sont l'adaptation de l'infrastructure existante à la crypto-agilité et l'introduction de certificats hybrides positionnés en fonction de la criticité des données. Se préparer aux changements à venir permettra d'assurer une transition en douceur des anciens algorithmes cryptographiques vers la cryptographie post-quantique de l'avenir.

Réaliser un inventaire basé sur les risques

La première étape de la mise en œuvre d'une cryptographie résistante au quantum consiste à réaliser un inventaire complet de l'PKI de l'organisation. Cela comprend les certificats numériques, les clés de sécurité, les protocoles, les bibliothèques de données et tous les dispositifs liés à la chaîne de confiance de l'PKI . Une fois catalogué, chaque actif doit être classé en fonction de trois facteurs clés :

• 
  

  Sensibilité des données qu'il protège

  
  
• 
  

  Durée de vie prévue des données ou durée pendant laquelle elles doivent rester confidentielles

  
  
• 
  

  Risque et impact de l'exposition potentielle des données

  
  

Les principales priorités en matière de protection contre les risques quantiques sont généralement les suivantes

• 
  

  Clés de l'autorité de certification (AC) racine et émettrice

  
  
• 
  

  Systèmes d'authentification des clients

  
  
• 
  

  Plateformes de signature de microprogrammes pour lIoT

  
  
• 
  

  Systèmes de signature de documents à long terme

  
  

Ces actifs sont essentiels dans l'écosystème PKI et comportent de graves risques opérationnels s'ils sont compromis.

Commencez par identifier les algorithmes cryptographiques utilisés, en donnant la priorité aux actifs à haut risque. Prêtez une attention particulière aux délais d'expiration des certificats (certains peuvent durer de 5 à 10 ans, ce qui peut dépasser le délai de mise en œuvre de la PQC du NIST). Il est essentiel de suivre l'évolution des normes et d'aligner les cycles de vie des certificats en conséquence.

Les systèmes en interface avec des partenaires externes doivent faire l'objet d'une attention particulière. Ces systèmes périphériques doivent faire l'objet de mises à jour coordonnées pour assurer la compatibilité avec la cryptographie hybride et de tests continus pour garantir le maintien de leur fonctionnalité pendant la transition.

Adapter la protection au niveau de risque

Le nombre d'actifs gérés par une organisation est énorme, ce qui nécessite un triage de la mise en œuvre et une approche hiérarchisée de la protection. Les classifications effectuées au stade de l'inventaire guideront l'application des protections cryptographiques proportionnellement à la sensibilité et au risque d'exposition de chaque bien.

Les trois catégories suivantes donnent une idée générale des protections à privilégier pour vos données, tout en sachant que les actifs de chaque organisation sont uniques et que les besoins peuvent différer :

1. Protection required now: Systems with long-term confidentiality requirements (such as legal, financial, healthcare, and strategic IP), since these are at the greatest risk of Harvest Now Decrypt Later attacks.
2. Transition via hybrid or PQC certificates: Medium-risk systems that still require classical certificate-only validation for compatibility.
3. Agile classical cryptography that can switch algorithms quickly: low-risk data and short-lived transactions.

À chaque phase de mise en œuvre pour chaque niveau de risque, continuez à documenter votre posture de sécurité pour répondre aux exigences réglementaires.

Adopter une approche hybride de la cryptographie résistante aux quanta 

Une approche hybride, qui implique des certificats hybrides pouvant prendre en charge à la fois les anciens algorithmes et les algorithmes PQC, constitue une étape pratique et pragmatique vers la cryptographie post-quantique. Cependant, les organisations ne doivent pas se reposer entièrement sur cette stratégie, car la dépréciation des algorithmes bientôt obsolètes nécessitera l'abandon progressif des PKI vulnérables.

A hybrid certificate is a certificate that contains two algorithm signatures: one classical and one post-quantum, ensuring backwards compatibility with existing clients while providing quantum-resistant encryption where it is already supported. This dual-stack structure allows for a gradual transition that can be implemented in phases. You can start issuing hybrid certificates in internal systems where you control both the client and the server, such as the mutual TLS (mTLS) within your network. Before updating certificates and replacing them with hybrid ones in other systems, make sure to know what specific types of hybrid certifications these systems support.

Another important thing to note is that hybrid certificates tend to increase in size compared to legacy certificates due to the post-quantum algorithm byte count, which can be significant in some post-quantum signatures such as ML-DSA. These can potentially break in legacy systems, so a phased approach is one of the safest ways to proceed.

La plupart des PKI bien architecturées peuvent être mises à niveau progressivement, sans qu'il soit nécessaire de tout remplacer d'un coup. Pour faciliter le processus, il convient d'envisager des AC qui prennent en charge des profils cryptographiques incluant des algorithmes hybrides et PQC, et qui intègrent des moteurs de politiques capables d'attribuer des algorithmes (classiques, hybrides ou PQC) en fonction du cas d'utilisation, de l'environnement ou de l'étage du système.

At this stage, certificate automation is not just a nice-to-have for an enterprise but a necessary reality that ensures the correct renewal, rotation, and revocation of certificates at scale. It becomes even more vital given the significant increase in complexity that hybrid deployments introduce. Automation will also help you adapt to ongoing changes and respond to unknowns. For this reason, avoid using hard-coded cryptographic tokens or keys, which will make downstream changes challenging and significantly more costly.

Priorité à l'interopérabilité et à la conformité

Interoperability is one of the top ongoing challenges of PKI. Here are tips to help ensure that interoperability is woven into the fabric of your PQC-ready PKI system:

• Éviter d'utiliser des algorithmes et des protocoles propriétaires, sauf s'il n'y a pas d'autres solutions.
• Suivre de près le processus de normalisation des CQP du NIST, car les formats et les API continuent d'évoluer et l'on ne sait pas encore quelle sera la norme industrielle à l'horizon 2030-2035.
• Track IETF efforts on X.509 hybrid certificate extensions and TLS 1.3 integration for PQC key exchange
• Créez une matrice de compatibilité interne et effectuez des tests multiplateformes, en particulier si vous desservez plusieurs domaines géographiques ou réglementaires.
• Surveillez les organismes de réglementation compétents pour garder une longueur d'avance sur les mandats de mise en conformité ; nombre d'entre eux publient des cadres de préparation aux CQP et des orientations sectorielles pour aider les entreprises à se préparer.

Diriger par la gouvernance, la formation et une communication claire

L'adoption de la PQC et la crypto-agilité exigent un changement de politique, de protocoles et d'état d'esprit à l'échelle de l'entreprise. Confiez la responsabilité de la planification de la transition vers la PQC à un groupe interfonctionnel comprenant des acteurs de l'architecture de sécurité, des opérations PKI , de la conformité et de l'approvisionnement, qui seront alors en mesure de communiquer clairement la feuille de route vers une cryptographie résistante aux quanta dans tous les domaines techniques et commerciaux. La préparation de la PQC est un effort de continuité de la confiance, et le fait de l'encadrer comme tel contribuera à garantir le financement et l'adhésion de la direction générale.

Soutenez également le personnel dans cette transition. Formez les développeurs et les ingénieurs en sécurité aux formats hybrides, aux compromis en matière de performances des algorithmes et aux pièges les plus courants en matière de compatibilité. Au fur et à mesure que le déploiement de la CQP se met en place, mettez à jour vos politiques cryptographiques pour refléter les nouvelles règles d'émission d'hybrides, les délais d'obsolescence des algorithmes et les processus de traitement des exceptions.

Conclusion

Le chemin vers la mise en œuvre d'une cryptographie résistante au quantum peut être long et complexe, mais la préparation, le bon état d'esprit et le choix des bons partenaires contribueront grandement à assurer une transition sans heurts vers la PQC.

Keyfactor is a trusted partner ready to lead your organization through the PQC transition. Together, we can protect your infrastructure from the adversaries of tomorrow while maintaining continuity, compliance, and trust today. Begin your crypto-agility journey today – our team is here to help you.