Les menaces quantiques sont réelles : votre sécurité est-elle prête ?
Les avancées en informatique quantique représentent une menace significative pour la sécurité des communications numériques modernes. Il ne fait aucun doute que les ordinateurs quantiques permettront des avancées dans divers domaines, de la biopharmaceutique aux services financiers. Cependant, les cybercriminels exploiteront également ces puissantes machines pour briser les techniques de chiffrement couramment utilisées, mettant ainsi en danger de vastes quantités de données sensibles.
Nous entendons parler depuis un certain temps des menaces que posent les ordinateurs quantiques, mais rien de fâcheux ne s'est encore produit. Pourquoi devrions-nous nous préoccuper maintenant ?
Tout d'abord, une concurrence saine et des investissements considérables de la part des principaux acteurs, tels que Google, AWS, Microsoft et IBM, accélèrent le développement des ordinateurs quantiques, ce qui accélère d'autant le calendrier des nouvelles menaces en matière de cybersécurité.
Mais plus important encore, les attaquants se préparent déjà à l'ère quantique. Ils interceptent et stockent actuellement des communications chiffrées et des données sensibles avec l'intention de les déchiffrer à l'avenir. Cette menace « collecter maintenant, déchiffrer plus tard » est d'ores et déjà extrêmement préoccupante pour toutes les organisations.
Voici le chiffrement post-quantique (PQC). La cryptographie post-quantique (CPQ) définit la prochaine génération d’algorithmes cryptographiques, conçus pour résister aux attaques des puissants ordinateurs quantiques. La cryptographie post-quantique permet de garantir la sécurité des données confidentielles, même lorsque les méthodes de chiffrement actuelles deviennent obsolètes.
Les experts dans le domaine de la cryptographie et les organismes nationaux de cybersécurité s'accordent sur une probabilité de percer les algorithmes de chiffrement traditionnels d'ici 10 à 15 ans. Mais compte tenu de la menace immédiate « collecter maintenant, déchiffrer plus tard », et de la longueur potentielle du processus de mise en œuvre de la cryptographie post-quantique sur tous les systèmes, les organisations doivent commencer à se préparer dès maintenant pour leur avenir post-quantique.
En quoi l'informatique quantique constitue une menace le chiffrement d'aujourd'hui
Le chiffrement constitue la pierre angulaire de la sécurité numérique. Il repose sur des problèmes mathématiques que les ordinateurs classiques ont énormément de difficulté à résoudre. Depuis des décennies, nous nous sommes appuyés sur des méthodes de chiffrement à clé publique, telles que Rivest-Shamir-Adleman (RSA) et la elliptic curve cryptography (ECC), persuadés que la complexité mathématique assurerait la sécurité de nos données. Toutefois, les ordinateurs quantiques, avec leur capacité à effectuer des calculs à une vitesse inimaginable, sont sur le point de menacer la confidentialité des données chiffrées.
Les ordinateurs quantiques exploitent la mécanique quantique pour résoudre rapidement et simultanément des problèmes quasiment impossibles à résoudre pour les machines classiques. Des algorithmes tels que l'algorithme de Shor permettront bientôt aux ordinateurs quantiques de venir à bout des normes de chiffrement actuelles en quelques secondes. À titre de comparaison, l'exécution de ces mêmes tâches nécessiterait plusieurs millions, voire des milliards d'années pour les ordinateurs classiques.
L'informatique quantique a dépassé le stade de la théorie. À l’heure actuelle, plusieurs entreprises travaillent sur des machines qui auront à terme la capacité de percer les mécanismes de chiffrement sur lesquels nous nous reposons traditionnellement pour sécuriser les communications modernes. Les innovations récentes telles que la puce quantique Willow de Google, Majorana 1 de Microsoft et la puce Ocelot d'Amazon mettent en évidence la vitesse à laquelle se développe cette technologie.
Les experts prédisent un délai de 10 à 15 ans avant l'arrivée des ordinateurs quantiques utilisables dans la pratique. Toutefois, des progrès inattendus dans les systèmes quantiques à grande échelle et tolérants aux pannes pourraient potentiellement accélérer ce délai.
Encore une fois, il existe une menace immédiate qui se déroule en ce moment. La stratégie « collecter maintenant, déchiffrer plus tard » signifie que dès que les ordinateurs quantiques seront disponibles, les cybercriminels disposeront d'un vaste ensemble de données qu'ils pourront déchiffrer et exploiter. Il n'est pas exagéré de dire que le premier cas d'utilisation à grande échelle de l'informatique quantique pourrait être le déchiffrement illégal de quantités massives de données volées.
Défense contre les attaques quantiques avec la cryptographie post-quantique
La cryptographie post-quantique (CPQ) représente la plus forte contre-mesure aux menaces quantiques. Cette suite d’algorithmes de chiffrement est spécifiquement conçue pour résister aux attaques des ordinateurs classiques et quantiques. Au lieu de factoriser des nombres entiers ou de résoudre des problèmes de logarithmes discrets, la cryptographie post-quantique s'appuie sur des problèmes mathématiquement complexes que les ordinateurs quantiques ne peuvent pas résoudre facilement.
Les efforts en faveur de l'adoption de la cryptographie post-quantique sont déjà déployés. En 2024, le National Institute of Standards and Technology (NIST) a établi des normes pour encadrer ce changement, celles-ci couvrent tous les aspects du chiffrement des données en général jusqu'à la sécurisation des signatures numériques. Citons l'exemple de la norme FIPS 203, fondée sur le mécanisme d'encapsulation de clé intégré (ML-KEM). Elle établit des clés de session dans les connexions TLS afin de protéger les données. Parallèlement, de nouveaux schémas de signature FIPS 204 et FIPS 205 sont proposés pour remplacer RSA et l’algorithme de signature numérique à courbe elliptique (ECDSA) dans le but de bloquer l’usurpation et l’altération, bien qu’ils imposent des compromis tels que des tailles plus importantes et des particularités de performance qui exigent un déploiement progressif.
Comment bâtir un avenir à l'épreuve des ordinateurs quantiques ?
La sécurité quantique ne consiste pas simplement à remplacer des algorithmes obsolètes. La migration vers la cryptographie post-quantique doit être planifiée et mise en œuvre de manière similaire à tout autre programme de transformation technologique et suivre des principes analogues. L'ampleur de la transformation dépendra de la taille de chaque organisation et de la complexité de leur infrastructure. Cette migration devrait faire partie d'une réorientation stratégique plus large vers l'agilité cryptographique à savoir la capacité de remplacer et d'adapter les algorithmes cryptographiques sans interrompre le flux des systèmes en cours d'exécution, comme le définit le NIST.
Voici quatre éléments clés à prendre en compte lors de la planification de votre migration vers la cryptographie post-quantique :
Étape 1 : dressez l'inventaire de votre environnement de chiffrement
Faites le point sur la situation actuelle, comment et où votre organisation utilise le chiffrement à clé publique et les signatures numériques sur tous les serveurs, réseaux, logiciels et applications. C'est ainsi que vous gagnerez en visibilité sur les vulnérabilités potentielles de l'informatique quantique.
Étape 2 : sécurisez les données en transit
Protégez les données transmises sur les réseaux en mettant en œuvre des clés de session à l'épreuve de l'informatique quantique. Faites face à des menaces telles que les attaques de type « collecter maintenant, déchiffrer plus tard » en suivant les normes en constante évolution d'organisations telles que le NIST et l'Internet Engineering Task Force (IETF). Testez de manière exhaustive ces mises en œuvre afin d'identifier les répercussions potentielles sur les performances ou les problèmes de compatibilité.
Étape 3 : sécuriser les données au repos
Créez une stratégie proactive pour protéger les données stockées. Traitez en priorité les informations sensibles qui conservent une valeur sur le long terme (par exemple la propriété intellectuelle, les informations d'identification personnelle, les dossiers médicaux, les mots de passe et les données métier stratégiques) afin de garantir une pérennisation de la confidentialité au moment même à l'ère quantique.
Étape 4 : se préparer au changement culturel
Intégrez l'agilité cryptographique à votre culture organisationnelle. Faites en sorte que vos systèmes, vos fournisseurs et vos partenaires puissent rapidement mettre en œuvre les normes émergentes à l'épreuve de l'informatique quantique dès qu'elles sont disponibles. Une formation régulière, une communication claire et des équipes transversales dédiées sont essentielles pour gérer efficacement cette transition.
Prévoir un calendrier de mise en œuvre prolongé
La menace future posée par les techniques quantiques dans 10 à 15 ans semble encore lointaine. Toutefois, la mise en œuvre de l'adoption universelle de la cryptographie post-quantique demandera probablement ce temps.
Les petites implémentations locales seront beaucoup plus rapides à terminer : les premières capacités basées sur la norme FIPS 203 sont disponibles aujourd'hui dans les produits commerciaux. Cependant, les grandes organisations complexes devront adopter des processus longs de découverte, de planification et de mise en œuvre pour assurer une couverture complète et une résilience face aux menaces quantiques.
Parallèlement à ces processus, les organismes de normalisation ratifieront les normes de cryptographie post-quantique, et les fournisseurs de solutions mettront à disposition généralisée des produits basés sur ces normes. Les normes établies et un écosystème de produits en expansion accéléreront considérablement le déploiement, la mise en œuvre et la gestion des systèmes basés sur la cryptographie post-quantique à l'échelle mondiale.
Orienter la transition vers la cryptographie post-quantique
Cloudflare s'efforce d'être à l'avant-garde des mutations technologiques majeures. Du lancement d'Universal SSL à la promotion de l'adoption généralisée de TLS 1.3, Cloudflare comprend l'importance et des difficultés liées à ces transformations technologiques. Nous sommes conscients de ce que la transition vers un chiffrement à l’épreuve de l’informatique quantique pourrait constituer une évolution parmi les plus importantes à ce jour.
Nous comprenons que cette transformation sera difficile, complexe et de grande ampleur pour la plupart des entreprises. Notre stratégie se concentre donc sur une intégration fluide et une adoption rapide de la cryptographie post-quantique sur l'ensemble de notre réseau mondial, afin de permettre à nos clients de bénéficier immédiatement de nos avancées.
Les sites protégés par le pare-feu applicatif web (WAF) de Cloudflare bénéficient déjà d'une sécurité à l'épreuve de l'informatique quantique assurant la protection du trafic conjointement avec des navigateurs tels que Chrome, Edge et Firefox. Aujourd'hui, près de 40 % du trafic HTTPS atteignant notre réseau bénéficie de ces protections à l'épreuve de l'informatique quantique.
Nous avons également étendu ces mêmes protections PQC à Cloudflare Tunnel, et garanti des connexions sécurisées aux applications d'entreprise et aux serveurs web d'origine situés derrière Cloudflare. En associant ce Cloudflare Tunnel post-quantique à l'utilisation de navigateurs à l'épreuve de l'informatique quantique, les entreprises peuvent maintenir une sécurité robuste et résistante à l'informatique quantique sur l'ensemble du parcours des données, du point de terminaison de l'utilisateur jusqu'à l'application.
Considérant la complexité et les coûts potentiels liés à l'intégration de la cryptographie post-quantique aux systèmes existants, nous nous efforçons de limiter la nécessité de mises à niveau immédiates et coûteuses à l'échelle du système. Les entreprises sont plutôt invitées à tirer parti du réseau Cloudflare afin de bénéficier de protections immédiates à l'épreuve de l'informatique quantique, tandis qu'elles planifient de manière stratégique et migrent progressivement vers une sécurité complète et résistante à l'informatique quantique.
À mesure que la technologie quantique évolue, Cloudflare maintient ses efforts en matière d'innovation, de collaboration et de normalisation à l'échelle mondiale. Notre objectif est clair : garantir que vos données restent sécurisées contre les menaces quantiques actuelles et futures.
C'est le moment d'agir
L'informatique quantique n'est pas une possibilité encore éloignée ; il s'agit d'un risque imminent pour la sécurité. Si l'avenir des ordinateurs quantiques demeure incertain, il est certain que le changement va avoir lieu. Avec l'abandon prévu par le NIST de RSA et ECDSA d'ici 2030, les entreprises doivent commencer à planifier la transition dès aujourd'hui.
L'adoption d'une stratégie d'anticipation, agile et à l'épreuve de l'informatique quantique n'est pas uniquement une question de conformité ; il s'agit de sécuriser votre avenir. Avec Cloudflare, vous pouvez protéger vos données et positionner votre entreprise en amont de la courbe quantique. Pour ce qui est de la sécurité quantique, le temps est maintenant venu de se préparer.
Cet article fait partie de notre série consacrée aux nouvelles tendances et évolutions susceptibles d'affecter les décideurs en matière de technologies d'aujourd'hui.
Approfondir le sujet
Découvrez comment réagir efficacement face aux risques émergents en matière de cybersécurité, avec un retour sur investissement de 238 %, dans le rapport Forrester Consulting The Total Economic Impact™ of Cloudflare's cloud de connectivité.
Auteur
James Todd – @jamesctodd
Directeur technique sur site (Field CTO), Cloudflare
Conclusions essentielles
Cet article vous permettra de mieux comprendre les aspects suivants :
Pourquoi l'informatique quantique menace les méthodes de chiffrement actuelles
Comment protéger les données sensibles contre les attaques reposant sur l'informatique quantique
Comment mettre en œuvre l'agilité cryptographique avec le chiffrement post-quantique
Ressources associées
The Total Economic Impact™ of Cloudflare's Connectivity Cloud
Innovations et tendances en matière de sécurité moderne : de l'IA à l'informatique quantique