Les nouveaux algorithmes à sécurité quantique sont là, et maintenant ?

The years-long wait is over: The final Federal Information Processing Standards (FIPS) for the first three quantum-safe cryptographic algorithms are here.

1. FIPS 203 is the key encapsulation method ML-KEM, based upon the algorithm Kyber, submitted to the PQC algorithm competition.
2. FIPS 204 is the most generic digital signature algorithm ML-DSA, based upon the  Dilithium algorithm.
3. FIPS 205 is the hash-based digital signature algorithm, based upon the  SPHINCS+ algorithm.

Avec la publication des normes finales, il est important d'abandonner les projets d'algorithmes puisque les identifiants qui leur sont associés (OIDS) sont désormais obsolètes. Tout travail effectué avec les projets sera encore utile puisque les caractéristiques sont similaires dans les algorithmes finaux, mais toute l'interopérabilité future repose sur les normes finales.

Au-delà de l'abandon des projets d'algorithmes, à quoi peut-on s'attendre maintenant que les normes définitives sont disponibles ? Voici ce qu'il faut savoir.

Des mises à jour partout : Que peut-on attendre des fournisseurs de technologie ?

La publication de ces algorithmes à sécurité quantique a inauguré une période de forte activité, les fournisseurs de technologie s'efforçant d'effectuer les mises à jour nécessaires. Certaines de ces mises à jour peuvent être effectuées simultanément, tandis que d'autres doivent être effectuées de manière séquentielle, ce qui signifie qu'il faudra attendre quelques mois avant que tout soit en place et entièrement mis à jour. 

Les principales activités des vendeurs de software sont les suivantes

• Structural updates: Standardization organizations will finalize and release updates for structures like certificates and CMS messages.
• Cryptographic library updates: Vendors will update cryptographic libraries to match the new algorithms. For Keyfactor, this means updating the Bouncy Castle cryptographic APIs, which is a top priority for our team.
• Interoperability testing: Teams will need to lead new interoperability testing between different libraries, both against the NIST test servers for the algorithms themselves and against structures like certificates and CMS messages under the IETF umbrella.

• Application updates: Once they are released, vendors will update applications with new versions of cryptographic libraries and other management details, such as names in UIs and OIDs.
• Quality assurance: Vendors will also need to lead QA efforts to ensure everything functions securely and properly once the new updates are in place.

Et le travail ne s'arrête pas là. Nous devons également prendre en compte les mises à jour de hardware , car les modules de sécurité hardware (HSM) sont obligatoires dans la plupart des environnements de production. Par conséquent, les fournisseurs de HSM travaillent déjà sur des microprogrammes pour prendre en charge les nouveaux algorithmes. Ces mises à jour impliquent également des normes, telles que PKCS#11, qui doivent être mises à jour par l'organisation de normalisation. 

Une fois que le nouveau firmware HSM est disponible, les équipes peuvent mener des tests d'intégration afin de fournir un système PKI entièrement testé. La bonne nouvelle, c'est que la plupart des équipes ayant testé les projets d'algorithmes, tout est déjà prêt pour tester les normes finales le plus rapidement possible. 

Le jeu de l'attente : Combien de temps les mises à jour peuvent-elles prendre ?

Comme presque tout doit être mis à jour, à quoi peut-on s'attendre en ce qui concerne le calendrier ? Entre le nombre d'étapes à franchir et le fait qu'il s'agit de cybersécurité, il y a forcément des surprises, et il est donc difficile de fixer un calendrier précis.

Cela dit, si tout se passe comme prévu, nous pouvons nous attendre à voir d'abord des bibliothèques cryptographiques mises à jour, suivies par des applications mises à jour, et enfin, une nouvelle intégration HSM. Avec un peu de chance, nous pourrons présenter un système entièrement intégré et prêt à être mis en production à temps pour les fêtes de fin d'année. Bien entendu, le calendrier exact dépendra également des caractéristiques spécifiques dont chaque organisation a besoin dans le produit final.

Par exemple, la certification FIPS est très importante pour certaines organisations, mais elle est encore en cours d'élaboration au NIST. Cela signifie que la certification FIPS ne sera probablement pas terminée au moment où les nouveaux modules cryptographiques et HSM seront prêts. Il est difficile de prévoir le calendrier exact de la certification ; historiquement, il a varié entre deux et 18 mois, en fonction de la file d'attente au NIST et d'autres facteurs. Sur la base de ces antécédents, on peut raisonnablement s'attendre à ce qu'elle soit finalisée dans le courant de l'année 2025.

Even if FIPS certification is important for your project, don’t let the lack of certification delay your project – the certification will come, and non-certified solutions can be deployed in testing to make the move to production easy when the time arrives.

Planifier, planifier, planifier : Que faire maintenant pour anticiper le changement ?

Le jeu de l'informatique post-quantique s'accélère. Nous entrons dans le sprint final, alors que nous passons de la phase de planification à la phase de mise en œuvre de la transition.

Que faire maintenant ?

• Commencez à planifier une mise à jour de vos systèmes de test vers les algorithmes finaux, dans le but de les mettre en production. 
• Assurez-vous que vos fournisseurs disposent d'une feuille de route pour la prise en charge des versions finales des algorithmes.
• Continuez à travailler sur la découverte, la crypto-agilité et la planification de vos migrations cryptographiques.

Il est essentiel de ne pas perdre de temps, car la transition est en marche. Nous verrons bientôt à quel point toute la planification effectuée par les équipes jusqu'à présent est importante.

Besoin d'aide dans votre transition vers le CQP ?

Keyfactor est là pour aider votre équipe à passer en douceur à la cryptographie post-quantique. Avec plusieurs produits prêts pour le quantique et un laboratoire PQC dédié, Keyfactor dispose de toutes les ressources dont vous avez besoin pour sécuriser vos systèmes et vos données et pour tester les certificats prêts pour le quantique.

Click here to learn more and get started with Keyfactor’s PQC Lab.