fr.wedoany.com Rapport : Microsoft a avancé son calendrier de transition vers la sécurité quantique à 2029, marquant ainsi le fait que les principaux fournisseurs de technologies considèrent le déploiement de la cryptographie post-quantique comme un problème d'ingénierie à court terme, et non comme un risque technologique lointain. Selon un article de blog publié par Mark Russinovich, directeur technique d'Azure chez Microsoft, l'entreprise prévoit de migrer ses produits et services clés vers un système de cryptographie post-quantique d'ici 2029. Cette initiative intègre les exigences de sécurité quantique dans le programme d'ingénierie de sécurité plus large de Microsoft, la « Security Future Initiative ».
Ce changement de calendrier reflète les préoccupations croissantes des gouvernements et de l'industrie quant à la possibilité que de futurs ordinateurs quantiques puissent déchiffrer les systèmes de cryptographie à clé publique actuellement dominants. Ces systèmes de cryptographie soutiennent des éléments centraux de l'informatique moderne, tels que le trafic Internet, les mises à jour logicielles, les identités numériques et les transactions financières. Bien que des ordinateurs quantiques capables d'attaques n'aient pas encore vu le jour, des chercheurs et des agences de sécurité avertissent que la migration vers des systèmes de cryptographie plus sûrs nécessitera plusieurs années.
Microsoft indique que les progrès de la recherche quantique rendent l'échéance des risques plus urgente que prévu. L'entreprise appelle les organisations à entamer immédiatement les préparatifs, car la transition impliquera des modifications approfondies à plusieurs niveaux, notamment les applications, les réseaux, les certificats, les clés, les systèmes d'identité et le matériel. Les directives des États-Unis et de la France exigent déjà que certains systèmes à haut risque adoptent une cryptographie sécurisée quantique à partir de 2030, reflétant le fait que les régulateurs intègrent la sécurité post-quantique dans les exigences de planification.
La cryptographie post-quantique désigne des méthodes de chiffrement capables de résister aux attaques des ordinateurs classiques et des futurs ordinateurs quantiques. Le risque actuel réside dans le fait qu'un ordinateur quantique suffisamment puissant pourrait exploiter les vulnérabilités des algorithmes existants pour déchiffrer les systèmes à clé publique actuels, y compris ceux utilisés pour la navigation sécurisée sur le Web, la signature de logiciels et les certificats numériques. L'objectif de Microsoft pour 2029 vise à offrir plus de temps de marge pour la migration des clients. L'entreprise souligne que, pour la plupart des organisations, le plus grand défi n'est pas de choisir de nouveaux algorithmes, mais de localiser où les algorithmes de chiffrement sont intégrés dans les systèmes, car la cryptographie est généralement répartie dans les logiciels, les services cloud, les API, les bases de données, les systèmes d'identité, les appareils mobiles et les applications héritées, et est souvent codée en dur.
Le plan accéléré de Microsoft se concentre sur trois domaines principaux : le chiffrement réseau, les données stockées et la chaîne de confiance de chiffrement. Pour les données en transit sur le réseau, l'entreprise recommande aux organisations de mettre à niveau les protocoles, par exemple en déployant plus largement TLS 1.3, afin de jeter les bases de futurs échanges de clés hybrides et post-quantiques. Pour les données stockées, les organisations doivent atteindre une agilité de chiffrement, c'est-à-dire la capacité de changer de méthode de chiffrement sans reconstruire l'ensemble du système, ce qui inclut la configuration des paramètres de chiffrement, l'amélioration de la rotation des clés et la suppression des algorithmes codés en dur. Pour la chaîne de confiance, le travail est plus complexe, impliquant la signature de code, la délivrance de certificats, la protection des clés et les pipelines de mise à jour logicielle, nécessitant une protection des clés assistée par le matériel, des politiques de certificats mises à jour et des cycles de vie de certificats plus courts.
Microsoft souligne également le risque de « récolter maintenant, déchiffrer plus tard », où des attaquants collectent et stockent des données chiffrées aujourd'hui pour les déchiffrer lorsque la technologie sera mature à l'avenir. Cette menace est particulièrement pertinente pour les gouvernements, les institutions médicales, les entreprises financières et les organisations détenant des données sensibles à long terme. L'entreprise recommande aux organisations de procéder à la transition de manière itérative, en priorisant les données sensibles à long terme, en construisant de nouveaux systèmes agiles en matière de chiffrement et en lançant des projets de découverte de chiffrement.
Microsoft insiste sur le fait que les organisations doivent d'abord désigner un responsable, fixer des jalons, établir un inventaire en temps réel des dépendances de chiffrement et moderniser les protocoles. Il est important de noter que l'annonce de Microsoft ne signifie pas qu'un ordinateur quantique capable de déchiffrer les systèmes de chiffrement existants est sur le point d'arriver. Ce domaine reste confronté à des obstacles technologiques majeurs tels que la correction d'erreurs, l'échelle, la fiabilité et le coût, et le calendrier est très incertain. De plus, le National Institute of Standards and Technology des États-Unis a lancé la normalisation des algorithmes post-quantiques, mais leur adoption généralisée dans les systèmes commerciaux prendra du temps ; les organisations doivent tester à l'avance les performances, la compatibilité et les risques opérationnels des nouvelles méthodes de chiffrement.
