L'informatique quantique est en marche, et elle pourrait bien finir par vous ruiner — au sens propre du terme.
Cette technologie révolutionnaire permettra d'atteindre des vitesses de traitement exponentiellement plus élevées que celles des ordinateurs actuels, grâce à l'utilisation de qubits « » pour exécuter des algorithmes quantiques multidimensionnels.
Les qubits ? Nous y reviendrons dans un instant. Le point essentiel ici est que l'on estime que les ordinateurs quantiques primitifs actuels utilisent environ 100 qubits logiques s. Mais lorsqu’ils auront atteint un niveau leur permettant de traiter entre 3 000 et 4 000 de ces unités d’information numériques — ce qui, selon beaucoup, pourrait se produire d’ici une dizaine d’années —, cela pourrait marquer le début d’un âge d’or des découvertes dans les domaines de la médecine , de la science des matériaux, de la défense, de l’urbanisme , des hautes technologies et d’autres disciplines. Cependant, comme c'est souvent le cas avec les innovations les plus remarquables, il y a un revers à la médaille : cette technologie pourrait également être détournée par des cybercriminels, et les banques constitueront une cible de choix.
Dans le secteur bancaire, par exemple, on s'attend à ce que les futurs ordinateurs quantiques deviennent si puissants qu'ils seront capables de contourner la plupart des algorithmes cryptographiques que les institutions financières utilisent actuellement pour protéger les données privées et sensibles de leurs clients, ainsi que les transactions en ligne et les comptes.
Cela ne veut pas dire pour autant qu'un hacker lambda sera capable d'utiliser facilement des ordinateurs quantiques à des fins malveillantes pour s'en prendre à des établissements tels que BofA ou Citigroup. Les systèmes quantiques seront bien trop coûteux pour la plupart des cybercriminels. Non, ce qui est préoccupant, c’est que des États hostiles ou des groupes de pirates informatiques bien financés puissent voler, acheter ou mettre au point des ordinateurs quantiques et lancer des attaques contre des institutions financières et les marchés avant que quiconque ne s’en aperçoive.
Qu'est-ce que l'informatique quantique et pourquoi les banques doivent-elles agir dès maintenant ?
Si ce terme vous est inconnu, le qubit (qui se prononce « KYOO-bit », abréviation de « quantum bit ») désigne une unité de base de l'information en informatique quantique, similaire au bit ou chiffre binaire en informatique classique, qui permet de traiter l'information en une fraction du temps nécessaire en informatique traditionnelle. On la représente souvent sous la forme d'une sphère en rotation, contrairement aux « uns » et aux « zéros » binaires de l'informatique traditionnelle. Vous entendrez de plus en plus parler des qubits dans les années à venir, à mesure que la technologie quantique se développe et que les cybercriminels exploitent son potentiel pour attaquer le secteur des services financiers et d'autres cibles.
«Même si [l’informatique quantique] ne se concrétise pas avant une décennie, il faut commencer dès maintenant à anticiper les changements qui seront nécessaires pour parer aux menaces potentielles. »Matthew Mittelsteadt, chercheur au Mercatus Center
Cette menace a conduit le président Biden à publier l’année dernière un décret « » ( ) imposant aux agences fédérales de rendre leurs systèmes cryptographiques résistants à l’informatique quantique (post-quantum). Ce mandat a ensuite été officialisé dans la loi sur la préparation en matière de cybersécurité face à l'informatique quantique, signée en décembre dernier.
De leur côté, les banques savent depuis un certain temps qu’elles sont vulnérables et prévoient de dépenser des milliards de dollars pour faire face à cette menace. Mais les observateurs craignent que, le plein potentiel de l'informatique quantique n'étant pas atteint avant au moins sept à 10 ans, de nombreuses banques reportent la mise en œuvre de mesures concrètes jusqu'à ce que cette échéance soit plus proche. Après tout, ils se concentrent sur des questions urgentes telles que la situation économique , les pertes croissantes et la baisse de confiance des déposants .
Néanmoins, selon les observateurs du secteur, retarder la prise de mesures face à la menace quantique constituerait une grave erreur.
D'une part, les données actuelles pourraient déjà être vulnérables au décryptage par l'informatique quantique — mais pas de la manière que vous imaginez. Étant donné que les données conservent leur utilité pendant un certain temps, les États pourraient collecter dès à présent des informations cryptées provenant de leurs adversaires, dans l'espoir de les déchiffrer à l'aide de la technologie quantique lorsque cela deviendra possible. Cette approche de type « capsule temporelle » est connue sous le nom d’« attaque HNDL » (harvest now, decrypt later, « collecter maintenant, décrypter plus tard ») ; selon une enquête menée par Deloitte intitulée « » (), plus de la moitié (50,2 %) des organisations sensibilisées aux menaces quantiques estiment qu’elles y sont « exposées ».
Faire face à la « menace existentielle » que représente l'informatique quantique
Compte tenu de tout cela, Matthew Mittelsteadt, chercheur au Mercatus Center, un groupe de réflexion basé en Virginie, qualifie l'informatique quantique de « menace existentielle pour la sécurité bancaire » et met en garde contre le risque de sous-estimer le temps et l'argent qu'il faudra pour y faire face de manière adéquate.
« Même si cela ne se produit pas avant une dizaine d’années, il faut commencer dès maintenant à anticiper les changements qui seront nécessaires pour parer à d’éventuelles menaces, car ces changements seront assez importants », déclare M. Mittelsteadt. « Si vous considérez tout ce qui va être touché par ce problème, cela concerne pratiquement tout. » « Ce seront nos technologies mobiles, nos bases de données… Littéralement, tout ce qui communique par voie numérique et utilise un système de chiffrement pourrait être affecté et devenir vulnérable. »
Pour être juste envers les banquiers, il faut reconnaître que leurs travaux préparatoires dépendront des initiatives gouvernementales visant à s'accorder sur des solutions de remplacement solides et résistantes à l'informatique quantique pour les systèmes courants de cryptographie à clé publique (PKC), tels que RSA, Diffie-Hellman et la cryptographie à courbe elliptique (ECC). Ces efforts, menés par l'Institut national des normes et des technologies (NIST) du ministère américain du Commerce, ont débuté en 2015 et se poursuivent encore aujourd'hui.
Des progrès lents mais constants dans le domaine de la cybersécurité quantique
En effet, ce n’est que l’année dernière que le NIST a publié et a lancé une consultation publique sur une liste de quatre algorithmes de chiffrement « finalistes » —CRYSTALS-Kyber pour le chiffrement général, ainsi que CRYSTALS-Dilithium, FALCON et SPHINCS+ pour les signatures numériques — qui devraient vraisemblablement être intégrés à sa norme de cryptographie post-quantique (PQC) vers 2024.
«On pourrait expliquer [les algorithmes actuels de cybersécurité] à la plupart des lycéens en cours de mathématiques. » Mais les mathématiques que nous utilisons pour ces nouveaux algorithmes post-quantiques sont bien plus complexes, et il faudra beaucoup de connaissances et de formation pour les comprendre. »Dustin Moody, mathématicien au sein de la division de la sécurité informatique du NIST
Mais le processus d'approbation de ces normes reste incertain, car les chercheurs en sécurité ne cessent de passer au crible ces algorithmes. Au début de cette année, par exemple, des chercheurs suédois ont réussi à pirater une implémentation de CRYSTALS-Kyber à l'aide d'une attaque par canal latéral de type « » (), assistée par une d'intelligence artificielle (IA) de type « ». Les attaques par canal latéral permettent de recueillir des informations sensibles, telles que des clés cryptographiques, en mesurant des émissions matérielles fortuites plutôt qu'en ciblant directement le code.
« On s'attendait toutefois à de tels obstacles, compte tenu de la complexité des algorithmes quantiques », explique Dustin Moody, mathématicien au sein de la division de sécurité informatique du NIST.
« C’est un domaine très complexe », déclare M. Moody. « Le RSA, par exemple, est un algorithme que l’on pourrait expliquer à la plupart des lycéens en cours de mathématiques. » Mais les mathématiques que nous utilisons pour ces nouveaux algorithmes post-quantiques sont bien plus complexes, et il faudra beaucoup de connaissances et de formation pour les comprendre. Il y aura donc des défis à relever. « Et des failles pourraient apparaître si nous ne mettons pas tout cela en œuvre avec le plus grand soin. »
Moody conseille aux banques d'attendre la publication des normes en 2024 avant de mettre en production des algorithmes post-quantiques, mais d'autres experts soulignent néanmoins l'importance de prendre certaines mesures pour s'y préparer.
Pour commencer, ils recommandent :
1. Faites l'état de vos moyens cryptographiques
Graham Steel, responsable produit au sein du groupe de sécurité quantique de SandboxAQ, une start-up issue d’Alphabet Inc., la société mère de Google, explique à Focal Point qu’il est nécessaire de réaliser un inventaire exhaustif afin de déterminer où, au sein de votre organisation, vous utilisez des systèmes de cryptographie vulnérables aux attaques quantiques.
Vous devez ensuite tenir compte de l'évaluation des risques liée à la loi « » (), afin de déterminer quelles données devront rester confidentielles dans cinq à 10 ans. Cela peut contribuer à prévenir les attaques de type HNDL à l'avenir.
Vous pouvez également tester les algorithmes quantiques proposés par le NIST dans votre environnement afin de voir quel impact ils pourraient avoir sur vos applications les plus importantes, ajoute-t-il.
2. Allouer des ressources financières à la cybersécurité quantique
Selon M. Mittelsteadt, peu de banques se rendent compte à quel point il sera long et coûteux de supprimer et de remplacer l'ensemble des systèmes de cryptographie sur lesquels reposent leurs systèmes numériques.
«Le risque, si vous ne le faites pas, est de prendre du retard sur vos concurrents, qui ne tarderont pas à communiquer sur leurs progrès. »Graham Steel, responsable produit au sein du groupe de sécurité quantique de SandboxAQ
« Il faut commencer à réfléchir aux infrastructures qui pourraient être touchées », déclare-t-il. « C'est une tâche très complexe. » « Il y aura de nombreux systèmes dont vous ne vous rendez pas compte qu’ils ne sont pas sécurisés. »
Il souligne que de nombreux systèmes ne sont pas correctement documentés.
« Vous allez probablement devoir payer quelqu’un pour qu’il passe en revue l’ensemble de vos entités et de vos succursales et, sur le terrain, identifie les systèmes existants, détermine s’ils sont susceptibles d’être affectés et élabore un plan de mise à jour de vos logiciels afin de mieux vous protéger contre les attaques quantiques », explique-t-il. « Ça ne sera pas facile. »
3. Repensez la conception de votre logiciel
M. Mittelsteadt fait remarquer que la normalisation des algorithmes du NIST pourrait prendre beaucoup de temps. Dans cette perspective, il conseille aux banques de commencer à repenser leurs logiciels « monolithiques » afin de s'adapter plus facilement au changement.
« Vous souhaitez mettre en œuvre des méthodologies favorisant la cyber-agilité », explique-t-il. « Cela signifie qu’il faut concevoir des systèmes modulaires afin de pouvoir facilement remplacer des composants, en particulier ceux liés à la sécurité. » « Si vous concevez aujourd’hui des systèmes de ce type, vous serez prêts lorsque ces normes du NIST seront officialisées. »
Personne ne sait quand la menace quantique va éclater au grand jour et devenir un problème plus grave pour le secteur bancaire, mais les experts déconseillent d'attendre de le découvrir. En procédant par petites étapes dès maintenant, les banques peuvent répartir les coûts et les efforts nécessaires sur une longue période, ce qui atténue les difficultés qui en découlent.
« Cela ne doit pas nécessairement coûter trop cher si vous l’envisagez de manière stratégique, dans le cadre de la modernisation globale de votre système informatique », explique M. Steel. « Si vous ne le faites pas, vous risquez de prendre du retard sur vos concurrents, qui ne tarderont pas à faire état de leurs progrès, et vous vous exposerez également à des pressions réglementaires vous obligeant à effectuer la migration dans des délais qui pourraient s'avérer irréalisables (parce que vous ne vous y êtes pas pris assez tôt), au risque de vous voir infliger des amendes pour non-conformité. »
