Planifier votre migration vers les normes post-quantiques

La migration d’une infrastructure cryptographique n’est pas un projet à court terme. Les grandes organisations mettent 10 à 15 ans à mettre entièrement à jour tous leurs systèmes. NIST estime que des ordinateurs quantiques capables de casser RSA-2048 pourraient exister d’ici 10 à 30 ans. Compte tenu de la menace « récolter maintenant, déchiffrer plus tard » et de la longueur des calendriers de migration, les organisations doivent commencer à planifier dès aujourd’hui, même si la menace quantique immédiate semble éloignée.

L’agilité cryptographique consiste à concevoir des systèmes de sorte que les algorithmes cryptographiques puissent être remplacés sans repenser toute l’architecture. Un système agile centralise la sélection des algorithmes dans la configuration, utilise des types de clés abstraits et dissocie la logique des protocoles des implémentations de chiffrements spécifiques. Les systèmes qui intègrent en dur RSA ou ECDH dans leur logique de protocole nécessiteront des migrations bien plus coûteuses que les systèmes agiles.

La première étape de la migration consiste à dresser l’inventaire de toutes les primitives cryptographiques de votre système : où RSA, ECDH, ECDSA et les algorithmes symétriques sont utilisés, dans quels contextes (TLS, signature de code, chiffrement des données au repos, jetons d’authentification) et quelles durées de vie des données sont concernées. NIST IR 8547 et les directives de CISA recommandent d’utiliser des outils automatisés de découverte pour trouver les clés codées en dur et les identifiants d’algorithmes dans les bases de code et les configurations.

TLS 1.3 prend en charge l’échange de clés hybride combinant X25519 et ML-KEM-768, défini dans le projet de norme draft-ietf-tls-hybrid-design. Le NamedGroup hybride X25519MLKEM768 envoie à la fois des parts de clé classiques et PQC dans le ClientHello. Le secret partagé est le hachage des deux résultats. Cela ne nécessite aucune modification du protocole pour les serveurs qui prennent en charge le nouveau NamedGroup et reste rétrocompatible avec les clients qui ne le prennent pas en charge.

NIST IR 8413 (2022) fournit des directives de migration vers la cryptographie post-quantique. Il répartit les systèmes en trois zones : criticité immédiate (secrets à longue durée de vie exposés au risque de collecte maintenant et de déchiffrement plus tard), moyen terme (données dont la confidentialité doit être préservée pendant 5 à 10 ans) et faible priorité (données éphémères ou à courte durée de vie). NIST recommande de donner la priorité à la PKI et à l’infrastructure de certificats, car la modification des certificats racine affecte des chaînes de confiance entières.

La menace de collecte maintenant et de déchiffrement plus tard (HNDL) constitue la raison la plus urgente de déployer immédiatement le chiffrement post-quantique, même avant l’existence d’ordinateurs quantiques. Des adversaires (des États-nations) enregistrent aujourd’hui du trafic chiffré dans l’espoir de le déchiffrer dès qu’un ordinateur quantique sera disponible. Les données présentant une sensibilité à long terme (dossiers médicaux, secrets d’État, données financières dont la pertinence s’étend sur plusieurs décennies) sont immédiatement exposées à cette attaque.

Compte tenu de la menace HNDL, la priorité HIGHEST pour la migration post-quantique consiste à protéger les données qui doivent rester confidentielles longtemps. L’échange de clés éphémères TLS (ECDHE) doit immédiatement passer à l’échange hybride X25519+ML-KEM. Les clés privées RSA à longue durée de vie (utilisées pour la signature de certificats ou pour chiffrer des données stockées) doivent être rechiffrées avec des schémas post-quantiques. Les clés de session éphémères utilisées pour la vidéo en continu sont faiblement prioritaires, car elles n’ont aucune valeur à long terme.

Avant de déployer la PQC, les organisations doivent mesurer l’impact sur les performances pour leurs charges de travail spécifiques. ML-KEM est rapide : la génération de clés et l’encapsulation prennent moins de 20 microsecondes sur du matériel moderne. Toutefois, l’augmentation de la taille des clés et des textes chiffrés (ML-KEM-768: 1184 + 1088 octets contre X25519: 32 + 32 octets) augmente la taille des négociations TLS. Pour les serveurs TLS à fort volume qui gèrent des millions de connexions par seconde, cette surcharge de bande passante doit être mesurée.

Le projet Open Quantum Safe (OQS) fournit liboqs, une bibliothèque libre qui implémente des algorithmes PQC, y compris toutes les normes de NIST. OQS fournit également des versions dérivées d’OpenSSL et de BoringSSL qui ajoutent la prise en charge de la PQC, ainsi qu’un serveur de test à l’adresse test.openquantumsafe.org. Les organisations peuvent utiliser liboqs pour réaliser un prototype et tester l’intégration de la PQC avant un déploiement en production, sans attendre la prise en charge par les bibliothèques principales.

Les agences fédérales des US et les secteurs réglementés doivent utiliser des modules cryptographiques validés par FIPS. NIST FIPS 203, 204 et 205 sont désormais publiés, mais les implémentations validées (avec des certificats CMVP) mettent davantage de temps à apparaître. NIST gère un programme de validation accélérée pour la PQC. Les organisations évoluant dans des environnements réglementés doivent suivre l’état de validation CMVP et prévoir une période pendant laquelle les déploiements hybrides classique+PQC utilisent des algorithmes classiques validés par FIPS parallèlement à des implémentations PQC validées.

La migration de la PKI est particulièrement complexe. Les certificats racine et les autorités de certification intermédiaires doivent être réémis avec ML-DSA ou des clés hybrides. Les magasins de confiance des navigateurs, de l’OS mobile et des appareils intégrés doivent tous être mis à jour. Certaines organisations étudient les certificats à double algorithme (PKI hybride) afin de préserver la rétrocompatibilité pendant la transition.

Quel type de données constitue la priorité HIGHEST pour la migration vers le chiffrement post-quantique en raison de la menace de collecte maintenant et de déchiffrement plus tard ?

La migration PQC nécessite une agilité cryptographique, un inventaire cryptographique complet et une hiérarchisation fondée sur la durée de vie des données. La menace de collecte maintenant et de déchiffrement plus tard rend urgent le déploiement immédiat de TLS hybride (X25519+ML-KEM-768) pour les secrets à longue durée de vie. La surcharge de performances reste maîtrisable pour la plupart des charges de travail. liboqs permet d’effectuer des tests avant la prise en charge par les bibliothèques principales. La conformité FIPS nécessite de suivre l’état de validation CMVP des implémentations PQC.