Élaborer un plan de cybersécurité en vue de l'ère, qui semble encore lointaine, de l'informatique quantique figure peut-être pour l'instant tout en bas de la liste des priorités de nombreuses entreprises, mais les agences fédérales prennent déjà des mesures essentielles pour opérer cette transition et se conformer aux obligations de déclaration imposées.
Le problème, c’est que ces premiers pas vers une sécurité résistante à l’informatique quantique ont été, dans l’ensemble, assez hésitants, et que l’enjeu est considérable en termes de données chiffrées : données financières , données, secrets d’État et informations personnelles des citoyens.
Stephen Harper, responsable de l'ingénierie en science de l'information quantique chez Accenture Federal Services, se prépare pour le « Q-Day », terme inventé par les spécialistes du quantique pour désigner le moment où un ordinateur quantique sera capable de contourner les normes de chiffrement actuelles utilisées par les réseaux informatiques. Il aide les agences fédérales à passer à la cryptographie post-quantique – et il s'efforce d'accélérer ce processus.
Accenture Federal Services – une division du cabinet international de conseil en informatique Accenture – collabore avec les agences relevant de l’ , au sein du gouvernement fédéral américain, afin de les aider à adopter de nouvelles technologies, notamment l’ , le cloud, l’IA et les systèmes de cybersécurité. M. Harper, expert chevronné en sécurité, est titulaire d'un master en cybersécurité de la Whiting School of Engineering de l'université Johns Hopkins et est passionné par l'informatique quantique.
Les agences fédérales américaines ont dû commencer à signaler les vulnérabilités potentielles de leurs systèmes au Bureau de la gestion et du budget (OMB) en 2023, et jusqu’à présent, elles l’ont fait en grande partie manuellement, et pas de manière très précise, explique M. Harper.
Voici son point de vue sur la manière dont nous pouvons accélérer et améliorer ce processus. Et par « nous », il entend « nous tous ». Les entreprises du secteur public doivent se préoccuper des questions de conformité à la loi « » – et il donne quelques conseils sur ce que les organismes devraient faire dès maintenant . Mais ses conseils s'appliquent tout autant au secteur privé. Car la menace quantique est bien réelle et touche toutes les organisations, grandes ou petites.
(L'interview suivante est adaptée d'une conversation entre Harper et l'animatrice de podcast Chelsea Nelson sur , le podcast Tanium, , produit par Tanium, qui publie ce magazine.) (Ce texte a été raccourci et reformulé pour des raisons de concision et de clarté.)
Quel est l'impact des progrès réalisés dans le domaine des ordinateurs quantiques sur les secteurs privé et public ? En quoi cela représente-t-il une menace ?
Au début de l'année 1990s, le professeur Peter Shor [un mathématicien qui travaillait alors chez Bell Labs, dans le New Jersey] a publié un article décrivant en détail un algorithme destiné à un ordinateur quantique capable de factoriser… des nombres semi-premiers. Cela signifie donc que nos systèmes actuels de cryptographie à clé publique [utilisés pour garantir la confidentialité des données sur les réseaux informatiques] peuvent être piratés par cet algorithme si l'on dispose d'un ordinateur quantique suffisamment puissant. Nous ne disposons pas encore de cet ordinateur quantique, mais ils sont en cours de développement.
«Nous avons désormais le temps de commencer à migrer vers des algorithmes non vulnérables, mais il faut s’y mettre. »
Nous savons que cela se produira [probablement] dans 10 à 20 ans… Nous avons donc le temps dès maintenant de commencer à migrer vers des algorithmes non vulnérables, mais il faut s’y mettre sans tarder. Et c'est dans ce contexte que la législation et les notes de service émanant du pouvoir exécutif ont été adoptées afin que les agences fédérales entament cette transition. Le premier est le Mémorandum sur la sécurité nationale (NSM-8), puis il y a eu le NSM-10.
Et puis il y a le mémorandum n° M-23-02 de l'OMB. Que demandent ces notes de service aux agences fédérales ?
Pour résumer, ce qu’ils exigent, c’est que les agences commencent à recenser leur utilisation de la cryptographie asymétrique vulnérable dans leurs applications hautement critiques et qu’elles en rendent compte chaque année à l’OMB afin de commencer à définir l’ampleur de la transition nécessaire. La note contient un tableau complet répertoriant les algorithmes vulnérables qui doivent faire l'objet d'un rapport – et ils devront le transmettre chaque année pendant les 10 prochaines années.
«Nous sommes confrontés à un petit problème de terminologie lorsque nous parlons de cryptographie post-quantique, car cela semble bien plus compliqué que ça ne l’est en réalité. »
Et d'après ce que nous avons pu constater, la plupart des agences, du moins pendant la première ou les deux premières années, effectuent toutes ces tâches manuellement, ce qui prend énormément de temps et s'avère assez imprécis, pour être honnête.
L'automatisation de ce type de tâches devrait faciliter la mise en conformité. À quoi correspond ce gain de temps ?
L'investissement initial [nécessaire à la mise en place d'outils visant à automatiser et à améliorer la collecte de données] demande un peu de temps. Il est difficile de se faire une idée précise de cela, car cela dépend de la taille des environnements système et de leur nombre.
Mais une fois que tout sera mis en place, non seulement nous pourrons obtenir les données en l'espace d'un après-midi environ, si tout est déjà prêt, mais celles-ci devraient également être nettement plus précises, à condition que les rapports et les tableaux de bord aient été conçus correctement.
Quelle est l'une des principales idées fausses concernant la mécanique quantique ?
Nous rencontrons un petit problème de terminologie lorsque nous parlons de cryptographie post-quantique, car le terme « quantique » donne l'impression que ce sujet est bien plus compliqué qu'il ne l'est en réalité.
D'accord.
En réalité, il s'agit simplement de nouveaux algorithmes de chiffrement qui fonctionnent sur des ordinateurs classiques. Cela n'a rien à voir avec la physique quantique.
«Nous ne disposons pas de toutes les données dont nous avons besoin et celles-ci ne sont pas communiquées avec précision ; nous ne connaissons donc pas l’ampleur réelle de la menace ni la surface d’attaque existante. »
Nous ne faisons que protéger contre les ordinateurs quantiques. C’est donc un point important que nous devons faire passer, car nous avons collaboré avec des agences où nous commençons à travailler avec les différents responsables de systèmes et les groupes qui gèrent ces systèmes, en leur demandant : « Dites-nous lesquels, parmi cette liste d’algorithmes vulnérables, vous utilisez. » Et on nous répondra, par exemple : « Nous utilisons Windows ; nous ne faisons rien de tout cela. » Et c'est techniquement vrai, je suppose, mais cela passe un peu à côté de l'essentiel.
Nous ne disposons pas de toutes les données dont nous avons besoin et celles-ci ne sont pas communiquées avec précision ; nous ne connaissons donc pas l'ampleur réelle de la menace ni la surface d'attaque existante.
De plus, nous ne disposons pas d'une vision précise de ce que seront les futures opérations de migration, ce qui nous empêche de savoir ce que nous devons faire. Cela va donc avoir des répercussions sur le budget , le périmètre et les effectifs afin de mener à bien l'ensemble de ces tâches.
Que devraient faire les agences fédérales à l'heure actuelle ?
Espérons qu'ils se soient tous efforcés d'améliorer leur processus de collecte de données. Ce qui est essentiel pour eux au cours des deux prochaines années, c’est de veiller à ce que ce processus soit aussi précis que possible et aussi automatisé que possible afin qu’à l’avenir, nous puissions intervenir pour les aider à tout transférer vers ces nouveaux algorithmes de chiffrement et nous assurer de ne rien oublier.
À quel point notre tendance à la procrastination est-elle un problème lorsqu'il s'agit de la physique quantique ?
On me demande toujours : « Eh bien, nous avons entre 10 et 20 ans… pour tout migrer vers ces nouveaux algorithmes. » N'est-ce pas largement suffisant ?
La CISA [l’Agence américaine de cybersécurité et de sécurité des infrastructures] a en effet publié un document [l’année dernière] exhortant les organismes du secteur public, en particulier ceux de la fonction publique, à se pencher sur leurs appareils de communication radio : bon nombre d’entre eux utilisent encore le chiffrement DES [la « norme de chiffrement des données » désormais obsolète] pour ces communications, alors que cette norme est déconseillée depuis près de 20 ans. Passer du chiffrement symétrique DES au chiffrement symétrique AES [la « norme de chiffrement avancée », mise à jour et plus sûre] est une opération bien, bien plus simple que de faire évoluer l'ensemble de nos... systèmes de chiffrement asymétrique.
On pourrait donc croire que nous avons beaucoup de temps devant nous, mais… avant même de nous en rendre compte, nous nous retrouvons avec tout un tas de systèmes vulnérables, et nous nous demandons ce qui a bien pu se passer.
POUR EN SAVOIR PLUS :
Découvrez l'intégralité de l'entretien avec M. Harper en cliquant sur le lien ci-dessous. Il y aborde les dernières normes du NIST en matière de cryptographie quantique et examine en détail les moyens dont disposent les organismes pour collecter, de manière plus efficace et plus précise, les données issues des certificats numériques et d'autres composants réseau, afin de satisfaire aux exigences de conformité.
