Google Cloud publie sa feuille de route vers la sécurité quantique, objectif 2029 pour une préparation complète

fr.wedoany.com Rapport : Google Cloud a fixé à 2029 l’échéance pour une préparation complète à la cryptographie post-quantique (Post-Quantum Cryptography, PQC) sur l’ensemble de son infrastructure cloud, et a publié le 11 août une feuille de route pluriannuelle couvrant la connectivité réseau, les signatures numériques, les systèmes d’identité, les certificats, la gestion des clés et la sécurité matérielle. L’entreprise a déjà déployé certaines mesures de protection quantiques et prévoit des changements plus étendus en 2027 et 2028.

Cette feuille de route divise la migration en trois domaines : protéger les données chiffrées contre les futures menaces de déchiffrement quantique, empêcher la falsification des signatures numériques et des identités, et construire une infrastructure capable de s’adapter aux évolutions des normes cryptographiques.

Une partie du travail est déjà en place. Les points de terminaison API de Google Cloud prennent désormais en charge l’échange de clés quantique-sûr en mode hybride ML-KEM, normalisé par le National Institute of Standards and Technology (NIST) des États-Unis ; les équilibreurs de charge d’application et de proxy prennent en charge l’échange de clés hybride post-quantique TLS 1.3 ; Cloud KMS propose désormais généralement les algorithmes normalisés ML-KEM, ML-DSA et SLH-DSA. En août, Google a également lancé un aperçu de l’importation de clés quantique-sûres pour Cloud KMS, facilitant aux organisations utilisant le mode bring-your-own-key la migration de leurs clés cryptographiques vers Google Cloud.

Ce calendrier est lié au rythme réglementaire. En 2024, après avoir finalisé trois normes PQC, le NIST a exhorté les organisations à commencer à les utiliser et à planifier leur migration, plutôt que d’attendre l’apparition d’un ordinateur quantique suffisamment puissant.

Le matériel quantique lui-même continue d’évoluer. IBM étend son infrastructure quantique avec des modules cryogéniques interconnectés à grande échelle pour faire progresser la recherche vers le calcul tolérant aux fautes, comme l’a rapporté le média technologique américain eWeek.

La partie la plus urgente du calendrier de Google cible les attaques « stocker maintenant, déchiffrer plus tard » (store now, decrypt later). En théorie, un attaquant peut dès aujourd’hui collecter et stocker le trafic chiffré, puis le déchiffrer lorsque les futurs systèmes quantiques seront suffisamment puissants pour casser le chiffrement à clé publique vulnérable. Google fixe donc fin 2027 comme objectif pour un ensemble de protections couvrant les charges de travail des clients, les connexions des administrateurs et des développeurs, ainsi que les pipelines de données, impliquant Cloud VPN, Cloud Interconnect, Google Cloud SDK, la grille de services GKE, Cloud Storage, BigQuery et les services de transfert de données.

L’étape suivante vise 2028. Google prévoit d’étendre la protection résistante aux quantiques aux signatures numériques, aux preuves logicielles, aux certificats, aux systèmes d’identité et d’accès, au Confidential Computing, à Cloud HSM et aux systèmes externes de gestion des clés ; Cloud IAM est inscrit au programme de cette année-là. Le déploiement plus large de la certification de sécurité quantique au niveau de l’infrastructure s’étend sur 2027 et 2028.

Parallèlement, la préparation quantique au niveau fédéral américain progresse également. Un décret de juin exige que les actifs de grande valeur et les systèmes à fort impact du gouvernement fédéral adoptent la cryptographie post-quantique pour les signatures numériques d’ici fin 2031.

La feuille de route ne promet pas d’achever tout le travail à la place des clients. Google distingue clairement la « sécurité du cloud » (security of the cloud) de la « sécurité dans le cloud » (security in the cloud) : l’infrastructure sous-jacente, comme le réseau, le chiffrement des transmissions, les serveurs et les systèmes d’exploitation, est migrée par Google, mais les clients doivent toujours gérer leurs propres applications, logiciels clients, cycle de vie des clés asymétriques et configuration cloud. Une partie de la transition du matériel physique pourrait se prolonger au-delà de 2029, selon le cycle normal de remplacement des équipements ; les exigences techniques, les dépendances tierces et les évolutions des normes peuvent également modifier le calendrier de certains produits.

Google recommande aux entreprises de lancer immédiatement trois actions : inventorier les clés cryptographiques, les certificats et les emplacements d’algorithmes vulnérables ; mettre à jour les logiciels et les outils de développement pour prendre en charge la PQC ; et tester les applications contre les API et équilibreurs de charge quantique-sûrs avant la migration vers les systèmes de production.

Le guide de migration du NIST donne un horizon plus long : les produits, services et protocoles de cybersécurité doivent être mis à jour, et les organisations doivent verrouiller l’emplacement des algorithmes vulnérables aux quantiques avant leur remplacement ; ces algorithmes seront dépréciés d’ici 2035 et retirés des normes du NIST, les systèmes à haut risque devant agir plus tôt.

Pour les équipes de sécurité des entreprises, 2029 ressemble davantage à un jalon de planification qu’à une ligne d’arrivée. Les fournisseurs de cloud ont commencé à remplacer les mécanismes cryptographiques à la base de leurs plateformes ; les clients doivent évaluer si les actifs cryptographiques de leur propre environnement suffisent à suivre ce rythme.