Les normes NIST sont officiellement finalisées - et maintenant ?

Ils sont enfin là. Il y a quelques semaines, le National Institute of Standards and Technology (NIST) a finalisé trois des quatre algorithmes de cryptographie post-quantique (PQC), nous rapprochant ainsi de la finalisation des normes. 

For background, NIST began this initiative back in 2016, when they called on the industry’s leading cryptographers to design and vet encryption options safe from breaking in a post-quantum (PQ) world. Then, in 2022, NIST selected the four winning algorithms that would be considered for the new PQC standards set to be finalized in the years ahead: CRYSTALS-KYBER (ML-KEM), which was designed for encryption, as well as CRYSTALS-Dilithium (ML-DSA), Falcon, and SPHINCS+ (SHL-DSA), which were intended to verify digital signatures. 

Flash forward to today: now, three of four algorithms are officially finalized as part of NIST’s PQC standards. This might leave security leaders asking, “What does this mean; What can we do?” 

KeyfactorChris Hickman, CSO, analyse l'impact des nouveaux algorithmes sur les équipes de sécurité des entreprises.

Les étapes recommandées par Chris Hickman pour être prêt pour le CQP

With the finalization of the NIST cryptographic algorithms, organizations now have the tools needed to safeguard against the quantum threat. Below are the steps security teams need to take to ensure they are marching swiftly to PQC-readiness.

Étape 1 : Comprendre que la transition vers le CQP est un marathon, pas un sprint.

The first step business leaders need to take is to fully grasp that the PQC transition will take time. Keyfactor’s 2024 PKI & Digital Trust Report found that most organizations believe the transition to PQC will take about four years. But in reality, experts believe it will take 8-10 years to do it correctly. 

Étape 2 : Dresser un inventaire de TOUS les actifs cryptographiques.

Without visibility into all the cryptographic assets across your organization, it is impossible to start the actual transition of those assets. Creating that inventory can take a lot of manpower. We strongly recommend investing in tools, such as Keyfactor’s EJBCA Enterprise Platform, to gather all of your cryptographic assets into one place. Leveraging automation ensures that no asset is left behind, while allowing IT and security teams to focus on other high priorities simultaneously.

Étape 3 : Définir une stratégie de mise en œuvre claire.

Once all cryptographic assets are accounted for, businesses should create a clear implementation strategy. Some key steps that should be included in the strategic planning process:

• Déterminer un budget réaliste et adapté à votre organisation
• Identifier les outils dont vos équipes auront besoin pour une migration réussie vers PQC et quelles parties de la transition devraient être automatisées.
• Définir le calendrier exact et les étapes à suivre
• Définir les responsabilités de chaque membre de l'équipe informatique et de sécurité
• Fixer des délais réalistes pour chaque étape

En tenant compte de ces éléments stratégiques, votre équipe peut assurer une transition aussi transparente que possible. 

Étape 4 : tester les algorithmes PQC finalisés du NIST dans un environnement sûr et mesurer la crypto-agilité de l'organisation.

Avec un plan en place et une visibilité à l'échelle de l'organisation sur tous les actifs cryptographiques, les équipes de sécurité devraient alors commencer à tester la suite initiale d'algorithmes finalisés du PQC du NIST dans des environnements de type "bac à sable". 

Teams can leverage Keyfactor’s PQC Lab – a free SaaS-based version of Keyfactor’s PKI platform, EJBCA Enterprise, that’s pre-configured to issue quantum-resilient certificates. The PQC Lab provides a quick and easy way for users to test and better understand the impacts of these changes on their infrastructure without impacting production environments.

Businesses should also test their crypto-agility to understand how quickly they can manage, update, and secure machine identities within their PKI infrastructure. This is a critical step in the PQC journey.

For more resources on the migration to PQC, check out Keyfactor’s PQC Lab page, which features helpful videos directly from the experts on our team. 

Et n'oubliez pas que le chemin vers la préparation à la CQP est un chemin de collaboration. Comme pour la plupart des scénarios de sécurité complexes, il n'existe pas de solution unique.

If you’re interested in learning more about how Keyactor can be a dependable resource for you in the post-quantum world, let’s connect.