Comment construire dès aujourd’hui des défenses de cybersécurité résilientes, adaptables et robustes à la hauteur de cette nouvelle puissance malveillante ?
Pour les lecteurs de Solutions Numériques é Cybersécurité, voici l’avis de Matthieu Bourguignon, vice-président senior Europe pour Nokia Network Infrastructure Business
Comme nous le savons tous, les infrastructures de cybersécurité sont constamment mises à rude épreuve. Depuis le début de la pandémie, la fréquence des cyberattaques a plus que doublé. Chaque incident nous rappelle que la cybersécurité doit être traitée avec le plus grand sérieux. En effet, les risques sont élevés, incluant des demandes de rançon exorbitantes, des amendes élevées en cas de non conformité et des répercussions intangibles mais sévères, telles que la perte de confiance des clients doublée d’une image de marque ternie.
Les cybercriminels ciblent de plus en plus les services gouvernementaux et les autorités chargées des interventions d’urgence. Dernièrement, au Royaume-Uni, une attaque par ransomware ciblant Royal Mail a causé une interruption importante du service postal international. Au Japon, une brèche dans l’Agence de défense numérique du Japon a mis plus de 9 mois pour être identifiée. En mars ce sont France Travail et Cap Emploi qui ont été victimes d’une cyberattaque ayant entraîné une violation de données avec un potentiel de 43 millions de personnes concernées.
Des organisations importantes – et en particulier celles responsables d’infrastructures critiques – commencent à réaliser que les cyberattaques sont une question de “quand” et non de “si”. Parallèlement, le coût moyen mondial d’une violation de données a augmenté de 15 % pour atteindre 4,45 millions de dollars en 2023. Ce qui démontre l’urgente nécessité de renforcer la cybersécurité pour protéger les services critiques.
Alors que les secteurs privé et public poussent à la transformation numérique pour améliorer l’efficacité opérationnelle, mais aussi la durabilité et la sécurité, les organisations cherchent à réduire les risques en prenant activement des mesures de protection avancées pour contrer les cybermenaces de plus en plus sophistiquées. Dans ce contexte, les réseaux de télécommunication doivent fournir une connectivité sécurisée et fiable.
L’aube du Q-Day
Un nouveau défi se profile à l’horizon : les ordinateurs quantiques. Fondamentalement différents des ordinateurs que nous connaissons, ces machines fonctionnent selon les principes de la mécanique quantique. Elles utilisent des bits quantiques, ou qubits, permettant d’effectuer massivement des opérations parallèles à des vitesses sans précédent.
Si l’informatique quantique promet des avantages considérables pour les économies mondiales et le fonctionnement de la société, ces machines présentent, de par leur nature même, un risque important pour les systèmes cryptographiques qui protègent les communications sécurisées depuis des décennies. En effet, elles peuvent apporter une capacité de calcul et de frappe qui sont hors de portée des ordinateurs standard actuels.
Par conséquent, l’arrivée imminente d’un ordinateur quantique cryptographiquement pertinent (CRQC), communément appelé “Q-Day” génère de nouvelles craintes dans de nombreux secteurs. Ce jour là, l’informatique quantique rendra obsolètes bon nombre des méthodes de chiffrement actuelles, mettant en péril la sécurité de l’infrastructure numérique et des systèmes économiques dans le monde entier.
Les experts de l’industrie estiment que les ordinateurs quantiques pourraient atteindre ce niveau de puissance d’ici à 2030, voire plus tôt. D’après un récent rapport de DSP Leaders, près de deux tiers (64 %) des cadres de l’industrie mondiale des télécommunications pensent que les opérateurs devraient déployer une technologie capable d’assurer la sécurité quantique des réseaux d’ici à 2028 pour anticiper et contrer cette menace.
Cette réalité potentielle justifie l’urgence de la création de “Réseaux Résistants aux Calculs Quantiques” -appelés Quantum Safe Networks (Réseaux QSN)-, c’est-à-dire des mesures de sécurité avancées capables de résister aux capacités de l’informatique quantique.
Récolter maintenant, déchiffrer plus tard, un problème croissant
Une stratégie sinistre déjà mise en œuvre par certains acteurs malveillants s’appuie sur le principe du « récolter maintenant, déchiffrer plus tard » (« harvest now, decrypt later » ou HNDL). Les pirates collectent au fil du temps et accumulent des données, même chiffrées, lors des échanges de clés de chiffrement, pour les décrypter plus tard, lorsque la technologie quantique aura atteint une maturité suffisante. Cette menace immédiate et pressante remet en cause la sécurité et la confidentialité des données à très long terme. En fait, plus de 50% des organisations estiment qu’elles sont menacées par des attaques HNDL.
Il est probable que des organisations ont déjà subi des violations de données qui seraient stockées en vue d’un déchiffrement futur. Cette menace avancée et persistante renforce la nécessité des réseaux QSN capables de résister à ces tactiques
Conscientes de ces risques, certaines organisations sont à l’avant-garde des réseaux résistants aux techniques quantiques. De nouvelles lignes directrices industrielles, établies par les agences américaines CISR, NSA et NIST préconisent une préparation d’urgence à la sécurité quantique, ceci indiquant sans ambiguïté l’importance que le gouvernement fédéral américain accorde aux menaces quantiques.
Plusieurs opérateurs de télécommunication ont déjà pris des engagements publics en faveur de la sécurité quantique, illustrant ainsi l’action de l’industrie dans ce domaine. Ces efforts visent non seulement à protéger leurs clients entreprises et services publics contre les attaques HNDL, mais aussi à assurer une transition efficace vers l’ère quantique.
Construire des réseaux QSN
Alors que l’informatique quantique continue de progresser, le paysage des menaces évolue lui aussi, passant de la résolution de problèmes à la vitesse quantique aux nouvelles techniques de violations, elles aussi à la vitesse quantique ! Il est donc urgent de moderniser et de mettre à niveau les réseaux. Des architectures résistantes aux menaces quantiques sont maintenant de rigueur. La protection quantique doit aller au delà de la couche applicative et s’étendre jusqu’aux réseaux IP d’accès ainsi qu’aux réseaux optiques cœur.
Les réseaux à sécurité quantique intègrent des procédés cryptographiques que les ordinateurs quantiques ne peuvent pas déchiffrer, ou parce que leur infrastructure de sécurité est suffisamment résistante pour détecter et bloquer des tentatives de déchiffrement quantique. La protection est renforcée par une combinaison de stratégies, incluant :
- Le chiffrement des données: il garantit la confidentialité des informations essentielles, en empêchant les accès, la divulgation ou l’utilisation non autorisés. La norme de chiffrement AES-256 avec distribution de clés symétriques est la référence pour les réseaux QSN.
- La génération, la gestion et la distribution de clés robustes : elles renforcent les défenses du réseau contre les attaques. Les clés générées par la physique classique ou quantique peuvent être sûres, à condition d’éviter systématiquement les distributions asymétriques.
- Les certifications indépendantes à venir : qui vérifieront que les mesures de sécurité en place sont efficaces et à jour.
- Le contrôle de l’intégrité : elle protège les données contre l’altération ou la corruption pendant la transmission.
- La garantie de non-répudiation : les parties concernées ne peuvent pas nier avoir envoyé ou reçu des messages cryptés.
Les opérateurs télécoms doivent évaluer leur agilité cryptographique afin de comprendre les implications de la cryptographie post-quantique sur leurs produits et les investissements nécessaires pour offrir des solutions de cryptographie post-quantique.
Il est actuellement possible de créer des réseaux QSN avec les outils existants, tels que les clés pré-partagées, les clés traditionnelles d’une longueur adéquate et la distribution de clés symétriques. Ces outils peuvent être encore améliorés en exploitant les clés générées par la physique quantique dans un cadre hybride, combinant des procédés classiques et la distribution quantique de clés (QKD).
À l’avenir, la cryptographie basée sur les mathématiques sera appliquée à des couches supérieures avec une connectivité éphémère. Collectivement, ces méthodes constituent un écosystème résistant aux calculs quantiques, qui devrait continuer d’évoluer en fonction des évolutions des menaces quantiques.
Les réseaux QSN ne sont pas un luxe futuriste, mais une nécessité réelle dès aujourd’hui. La transition nécessite du temps, des investissements modestes et une approche stratégique de la sécurité qui s’adapte en continu sur les cybermenaces les plus avancées. Alors que les vagues de l’informatique quantique se répercuteront dans divers secteurs, de l’innovation en matière de véhicules électriques aux prévisions financières et aux traitements médicaux, le revers de la médaille de cette puissance requiert des défenses de cybersécurité résilientes, adaptables et robustes.
Par conséquent, l’avenir de l’économie numérique dépend d’une étape fondatrice incontournable : l’intégration de mesures de cybersécurité avancées et l’adoption de structures de confiance avec un chiffrement à sécurité quantique dans toutes les organisations. Les organisations doivent protéger en permanence leurs actifs les plus critiques et les données personnelles de leurs clients et assurer la continuité sans faille des services qui constituent l’épine dorsale de notre société. Notre parcours vers la sécurité quantique doit donc commencer maintenant.
