Un ordinateur quantique suffisamment puissant briserait la cryptographie à clé publique qui protège la majeure partie du trafic Internet, des paiements et des signatures numériques d’aujourd’hui. Personne ne peut dire exactement quand. Les gouvernements et les organismes de normalisation ont cessé d’attendre, et le travail qu’ils demandent en priorité n’est pas exotique : sachez où se trouve votre cryptographie.
« Récolter maintenant, décrypter plus tard »
Les attaquants peuvent enregistrer le trafic crypté aujourd’hui et le décrypter une fois que la capacité quantique existera. Les données qui doivent rester confidentielles pendant de nombreuses années, telles que les dossiers de santé, les documents d’identité ou les contrats à long terme, sont déjà exposées à ce risque. C’est pourquoi les calendriers de migration commencent maintenant, et non lorsque la première machine performante apparaîtra.
Les normes sont prêtes
Le 13/08/2024, le NIST a approuvé ses trois premières normes post-quantiques : FIPS 203 (ML-KEM, pour l’établissement de clés), FIPS 204 (ML-DSA) et FIPS 205 (SLH-DSA), toutes deux pour les signatures numériques (NIST). Le NIST a également publié un projet de plan pour le retrait des algorithmes vulnérables au quantique tels que RSA et la cryptographie sur courbes elliptiques (NIST IR 8547, projet).
La feuille de route du Canada
Le Centre canadien pour la cybersécurité a publié la feuille de route de migration du gouvernement fédéral le 23/06/2025 (Centre pour la cybersécurité). Les ministères fédéraux devaient élaborer un plan de migration initial d’ici avril 2026, rendre compte des progrès chaque année, achever la migration des systèmes hautement prioritaires d’ici la fin de 2031 et des systèmes restants d’ici la fin de 2035. La feuille de route est rédigée pour les ministères fédéraux, mais les fournisseurs du gouvernement et des industries réglementées doivent s’attendre à ce que les mêmes questions leur parviennent.
Le PCI DSS demande déjà la première étape
Deux exigences du PCI DSS v4, obligatoires depuis le 31/03/2025, jettent les bases (PCI DSS v4.0.1) :
- Exigence 4.2.1.1 : un inventaire des clés et certificats de confiance utilisés pour protéger les données de cartes en transit.
- Exigence 12.3.3 : les suites de chiffrement et les protocoles cryptographiques utilisés sont documentés et examinés au moins une fois tous les 12 mois, y compris un inventaire de ce qui est utilisé et où, une surveillance des tendances du secteur sur leur viabilité continue, et une stratégie documentée pour répondre aux changements anticipés (analyse).
Cette « stratégie pour répondre aux changements anticipés » est, en pratique, le début d’un plan post-quantique. Le PCI SSC a également commencé à discuter de l’agilité cryptographique sur son blog.
Un plan de départ pratique
- Établissez un inventaire cryptographique. Protocoles, suites de chiffrement, certificats, clés, modules de sécurité matériels (HSM), bibliothèques et la cryptographie au sein des services tiers et cloud.
- Classez par durée de vie des données. Priorisez les systèmes protégeant les données qui doivent rester confidentielles au-delà de 2030.
- Interrogez vos fournisseurs. Prestataires de services de paiement, fournisseurs de HSM, fournisseurs de cloud et de SaaS : quelle est leur feuille de route post-quantique et quand prendront-ils en charge les algorithmes du NIST ?
- Concevez pour l’agilité. Évitez les algorithmes codés en dur afin de pouvoir changer sans reconstruire les systèmes.
- Intégrez cela aux examens existants. Votre examen annuel 12.3.3 est un point de contrôle naturel.
Ubitrak examine les inventaires cryptographiques dans le cadre des évaluations PCI DSS, et Accel GRC peut assurer le suivi du plan de migration. Contactez-nous.
Sources
- Centre canadien pour la cybersécurité : Feuille de route pour la migration vers la cryptographie post-quantique pour le gouvernement du Canada (ITSM.40.001)
- NIST : Post-quantum cryptography FIPS approved (FIPS 203, 204, 205)
- NIST IR 8547 (projet public initial) : Transition to post-quantum cryptography standards
- Bibliothèque de documents du PCI SSC (PCI DSS v4.0.1)
- Chad M. Barr : Key considerations for PCI DSS v4.0.1 requirements 4.2.1.1 and 12.3.3
- PCI SSC : Blogue PCI Perspectives
Est-ce que cela s’applique à vous? Une consultation gratuite de 30 minutes relie l’exigence à vos systèmes et vous indique quoi faire ensuite.
Réserver une consultation gratuite