La menace quantique qui pèse sur la cybersécurité est assez simple à énoncer. Un ordinateur quantique de taille suffisante peut factoriser efficacement des entiers et calculer des logarithmes discrets en l'algorithme de Shor, brisant une grande partie de la cryptographie à clé publique utilisée aujourd'hui, notamment Rivest – Shamir – Adleman (RSA) et la cryptographie à courbe elliptique (ECC). La cryptographie à clé publique vulnérable imprègne toutes les couches de la pile, créant un besoin pressant de cryptographie post-quantique (PQC), des algorithmes à clé publique capables de protéger contre menaces informatiques quantiques.

Analyse de sécurité des algorithmes candidats du National Institute for Standards and Technology (NIST) pour Standardisation PQC suggère la nécessité d’une agilité cryptographique, c’est-à-dire la capacité de modifier facilement les algorithmes ou implémentations cryptographiques sous-jacents. Par exemple, lors des troisième et quatrième cycles du processus d'évaluation des algorithmes du NIST, les experts ont développé de nouvelles attaques contre le GeMSS ainsi que le Rainbow les schémas de signature numérique et les Candidat KEM SIKE, entraînant leur élimination de la considération. Et des recherches récentes ont démontré un attaque par canal secondaire sur Crystals-Kyber - un de quatre algorithmes NIST sélectionnés pour la normalisation.

Dans quelques années, il est peu probable que les algorithmes et les implémentations PQC ressembleront exactement à ce qu’ils sont aujourd’hui. Cependant, les organisations ne peuvent pas se permettre d’attendre pour commencer la migration vers PQC. UN percée dans la recherche en informatique quantique Cela pourrait signifier qu’un ordinateur quantique doté de suffisamment de puissance pour briser la cryptographie à clé publique actuelle soit déployé avant que les organisations n’aient entièrement inventorié et mis à niveau toutes les instances de cryptographie vulnérable dans toutes les applications internes et tierces. L'orchestration cryptographique (la capacité de visualiser et de gérer de manière centralisée l'utilisation de la cryptographie dans l'ensemble d'une entreprise) doit être une stratégie à court terme pour assurer la sécurité et la conformité à grande échelle.

L'importance de l'agilité

Le modèle de déploiement typique de la cryptographie est hautement décentralisé et fragmenté, la cryptographie étant directement couplée aux applications finales et fournie par un mélange de bibliothèques spécifiques à la plate-forme ou au langage. Ce modèle entraîne à son tour une visibilité et une agilité réduites. Il n’est donc pas étonnant qu’un récent mémo de la NSA fixe une date cible de 2035 pour la migration vers PQC – dans plus de 10 ans.

Pour équilibrer la nécessité de commencer la migration dès maintenant avec les réalités d'un écosystème immature, les organisations devraient poursuivre Des solutions PQC agiles. Fondamentalement, l'agilité cryptographique pour une bibliothèque, un protocole ou une application signifie la possibilité d'échanger les algorithmes ou implémentations cryptographiques utilisés avec un minimum de perturbations. Un système cryptographiquement agile peut répondre rapidement à de nouveaux bogues de cryptanalyse ou de mise en œuvre en remplaçant ou en mettant facilement à niveau la cryptographie vulnérable. L'agilité cryptographique permet également aux systèmes de tirer parti de nouvelles implémentations plus rapides ou utilisant moins de mémoire.

L’agilité cryptographique ne devrait cependant pas être la fin de l’histoire. Tout comme pour les transitions précédentes — de DES à AES, MD5 à SHA-1, et SHA-1 à SHA-2 — les algorithmes cryptographiques ont un cycle de vie qui comprend des itérations améliorées et parfois une étape de suppression progressive. Pour pérenniser leur sécurité, les organisations doivent chercher à développer ou intégrer des solutions avec orchestration cryptographique, une interface système unique pour suivre et gérer la cryptographie utilisée par les applications et les appareils tout au long du cycle de vie de l'algorithme.

Pourquoi l'orchestration est importante

L’idée de l’orchestration cryptographique reflète mise en réseau définie par logiciel (SDN) dans les réseaux informatiques. La gestion d'un réseau IP traditionnel est un processus long et sujet aux erreurs qui implique la configuration manuelle des commutateurs, des routeurs et des boîtiers de médiation à l'aide d'outils spécifiques au fournisseur ou d'interfaces de ligne de commande.

L'innovation du SDN réside dans une couche de middleware qui fait abstraction des détails de bas niveau des commutateurs et des routeurs responsables du transfert des paquets et expose une interface abstraite au niveau de la politique réseau. Le middleware garantit que les éléments de bas niveau mettent en œuvre une politique donnée. Avec le SDN, la mise en œuvre de politiques de routage dynamique à grande échelle devient un problème résolu.

L'orchestration cryptographique applique un niveau similaire d'abstraction et d'automatisation au-dessus des entités de bas niveau exécutant des protocoles ou des algorithmes cryptographiques pour exposer une interface pour la politique cryptographique. En travaillant au niveau politique, l’orchestration peut également alléger la tâche des organisations qui doivent répondre à grande échelle aux exigences réglementaires et de conformité actuelles et futures.

Lors de la migration vers PQC, considérez que tout objectif de conformité, tel que FIPS140-2, qui fait référence à une cryptographie à clé publique vulnérable devra changer avec la menace quantique. L'orchestration cryptographique facilite grandement ces tâches en offrant une visibilité sur les algorithmes, les tailles de clé, les politiques de rotation des clés ou les sources d'entropie qu'utilise toute instance de cryptographie, en plus de fournir les moyens d'échanger facilement les instances vulnérables ou non conformes. L'orchestration deviendra encore plus importante à mesure que le nombre d'appareils et d'applications dans une organisation augmente en raison des tendances informatiques telles que le « apportez votre propre appareil » (BYOD) et le Internet des Objets (IoT).

Leçons PQC pour les entreprises

Dans l’ensemble, la migration vers PQC met au premier plan quelques considérations clés en matière de sécurité d’entreprise. Premièrement, le processus de normalisation PQC est toujours en cours. Les experts continuent d'attaquer et de sonder les candidats tandis que les équipes de soumission cherchent à corriger les lacunes et à optimiser les implémentations logicielles et matérielles. À court terme, le paysage changeant du PQC nécessite une agilité cryptographique dans les bibliothèques, les protocoles et les applications pour naviguer en toute sécurité dans la migration loin des algorithmes à clé publique vulnérables.

Deuxièmement, le processus PQC nous rappelle plus largement que les algorithmes cryptographiques ont un cycle de vie. Les algorithmes classiques à clé publique approchent de la fin de leur cycle de vie, alors que la plupart des algorithmes PQC en sont encore au début de leur cycle de vie. Personne ne peut prédire si une nouvelle attaque classique ou quantique rendra un algorithme particulier obsolète et nécessitera une nouvelle migration – ou si une autre technologie aussi perturbatrice que l’informatique quantique se profile à l’horizon. Par conséquent, il est essentiel que nous concevions des systèmes capables de répondre de manière adéquate aux nouveaux développements. La cryptographie orchestrée et agile est une vision pour atteindre ce noble objectif et permettre aux organisations d'atteindre leurs objectifs de sécurité, de réglementation et de conformité à grande échelle.

Bien que la migration PQC représente un défi majeur pour les organisations gouvernementales et industrielles, elle représente également une fantastique opportunité de faire évoluer le paradigme de la cryptographie d’entreprise vers un paradigme d’agilité et d’orchestration.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.darkreading.com/dr-tech/making-the-case-for-cryptographic-agility-and-orchestration