Cryptographie post-quantique : sécurité des mots de passe à l’ère quantique
Table of Contents
La mécanique quantique est l’étude de la physique au niveau d’objets incroyablement petits – plus petits que les atomes. Quiconque s’est penché sur des théories comme la dualité onde-particule et l’intrication sait que les choses peuvent devenir confuses (et étranges) très rapidement. Mais ce n’est pas que de la théorie. L’informatique quantique est une tentative d’exploiter les principes de la mécanique quantique et d’amener les ordinateurs à traiter l’information de manière fondamentalement nouvelle. Pour les professionnels de la cybersécurité, cela présente à la fois un défi et une opportunité.
La principale préoccupation qui se pose est que les ordinateurs quantiques pourraient rendre obsolètes les méthodes de chiffrement actuelles. Les algorithmes qui sous-tendent une grande partie des communications sécurisées d’aujourd’hui reposent sur la difficulté de factoriser de grands nombres ou de résoudre des logarithmes discrets – des tâches que les ordinateurs quantiques pourraient effectuer avec facilité. Cela signifie que les données sensibles, des transactions financières aux communications de sécurité nationale, pourraient devenir vulnérables. D’autre part, l’informatique quantique ouvre également la porte à de nouvelles techniques de cryptographie post-quantique qui pourraient fournir une sécurité encore plus forte.
Comment les ordinateurs quantiques cassent-ils les mots de passe ?
Les ordinateurs quantiques ne « cassent » pas directement les mots de passe au sens traditionnel, mais ils peuvent avoir un impact significatif sur la sécurité des systèmes cryptographiques qui protègent les mots de passe. Plus précisément, les ordinateurs quantiques peuvent casser certains types d’algorithmes de chiffrement et de hachage qui sont actuellement utilisés pour sécuriser le stockage et la transmission des mots de passe.
Les ordinateurs classiques utilisent des bits (1 et 0) pour représenter les données. Les ordinateurs quantiques utilisent plutôt des bits quantiques, ou qubits, qui peuvent exister dans plusieurs états simultanément (nous avions prévenu que cela devenait étrange !). Cette propriété, connue sous le nom de superposition, permet aux ordinateurs quantiques d’effectuer des calculs complexes à une vitesse sans précédent, résolvant potentiellement des problèmes qui prendraient des millions d’années aux ordinateurs classiques à résoudre.
Les algorithmes de cryptographie conventionnels fonctionnent en choisissant deux grands nombres premiers et en les multipliant pour obtenir un nombre encore plus grand. Un ordinateur doit inverser le processus pour déterminer quels nombres premiers ont été multipliés ensemble s’il veut casser le chiffrement, ce qui pourrait prendre des milliards d’années à un système conventionnel.
Algorithme de Shor
Ces calculs peuvent être liés à « l’algorithme de Shor », créé par Peter Shor en 1994, qui pourrait en théorie casser les problèmes mathématiques liés à la cryptographie à clé publique (PKC). C’est parce qu’il serait capable d’effectuer la factorisation de nombres premiers beaucoup plus rapidement que les ordinateurs normaux. Cependant, il aurait besoin d’un grand ordinateur quantique pour fonctionner – une technologie qui approche maintenant de la réalité.
Un ordinateur quantique puissant pourrait traiter tous les facteurs premiers potentiels simultanément, au lieu d’un seul à la fois. Il pourrait utiliser l’algorithme de Shor pour factoriser efficacement de grands entiers et résoudre le problème du logarithme discret. Cela signifie qu’il est possible qu’un ordinateur quantique puisse résoudre un puzzle en jours ou même en heures qui aurait pu prendre des milliards d’années à un ordinateur traditionnel.
Qu’est-ce que la cryptographie post-quantique ?
La cryptographie post-quantique, également connue sous le nom de cryptographie résistante aux quantiques, est une branche de la cryptographie axée sur le développement d’algorithmes qui peuvent résister aux attaques des ordinateurs quantiques. Comme nous l’avons discuté, les ordinateurs quantiques ont le potentiel de résoudre rapidement des problèmes mathématiques qui sembleraient impossibles avec la technologie traditionnelle. La cryptographie post-quantique tente de combattre cela en utilisant différents problèmes mathématiques qui sont censés être difficiles à résoudre pour les ordinateurs classiques et quantiques.
Il s’agit d’un domaine en évolution et plusieurs approches sont explorées en cryptographie post-quantique, notamment :
- Cryptographie basée sur les réseaux : repose sur la difficulté de trouver le vecteur le plus court dans un réseau de haute dimension, un problème qui est censé être résistant aux attaques quantiques
- Cryptographie basée sur les codes : utilise des codes de correction d’erreurs pour créer des systèmes cryptographiques résistants aux attaques des ordinateurs quantiques
- Cryptographie polynomiale multivariée : approche qui repose sur la difficulté de résoudre des systèmes d’équations polynomiales multivariées
- Signatures basées sur le hachage : schémas de signature numérique qui utilisent des fonctions de hachage pour créer des signatures, fournissant une sécurité contre les attaques d’ordinateurs quantiques en exploitant les propriétés des fonctions de hachage pour assurer l’intégrité et l’authenticité.
Les pirates peuvent-ils utiliser la technologie quantique ?
Actuellement, les ordinateurs quantiques ne sont pas largement disponibles ou assez puissants pour que la plupart des pirates puissent les utiliser efficacement. Mais à mesure que la technologie progresse, il y a une préoccupation croissante qu’ils pourraient potentiellement être utilisés pour casser de nombreux systèmes cryptographiques d’aujourd’hui. L’informatique quantique a certainement le potentiel de changer dramatiquement le paysage de la sécurité des mots de passe. Du côté du cassage, les ordinateurs quantiques pourraient percer les algorithmes de hachage de mots de passe traditionnels avec une relative facilité.
Les méthodes de chiffrement actuelles comme bcrypt, scrypt et PBKDF2 reposent sur la difficulté computationnelle d’inverser les fonctions de hachage, mais les ordinateurs quantiques pourraient potentiellement forcer ces hachages beaucoup plus rapidement que les ordinateurs classiques. Cela signifie que même des mots de passe forts et complexes pourraient être à risque, car le temps requis pour les casser serait considérablement réduit.
L’informatique quantique va-t-elle casser les clés d’accès ?
Les clés d’accès sont une forme d’authentification sans mot de passe conçue pour être plus sécurisée que les mots de passe traditionnels en utilisant la cryptographie à clé publique. Donc l’informatique quantique pose effectivement une menace significative aux algorithmes cryptographiques qui sous-tendent les clés d’accès. Plus précisément, les algorithmes utilisés pour la génération de clés, tels que RSA et ECC, pourraient être vulnérables aux attaques quantiques.
Cependant, la communauté cryptographique travaille déjà sur des solutions à ce problème potentiel sous la forme de cryptographie post-quantique. À mesure que ces algorithmes post-quantiques mûrissent et sont standardisés, ils peuvent être intégrés dans les systèmes de clés d’accès pour s’assurer qu’ils restent sécurisés même face à l’informatique quantique.
La cryptographie post-quantique gardera-t-elle les mots de passe sécurisés ?
Bien que les mots de passe eux-mêmes ne soient pas directement affectés par l’informatique quantique, les systèmes qui protègent et gèrent les mots de passe, tels que ceux utilisés pour l’authentification sécurisée et le chiffrement des bases de données de mots de passe, pourraient l’être. Par exemple, si le chiffrement utilisé pour protéger les hachages de mots de passe est basé sur des algorithmes vulnérables, il pourrait devenir susceptible aux attaques quantiques.
Cependant, la cryptographie post-quantique offre également des moyens d’améliorer la sécurité des mots de passe. Des algorithmes résistants aux quantiques sont développés pour résister aux attaques des ordinateurs quantiques. Ces algorithmes sont conçus pour être computationnellement infaisables à casser, même avec la puissance de l’informatique quantique. De plus, la distribution quantique de clés (QKD) pourrait fournir un moyen de transmettre en toute sécurité les clés de chiffrement, s’assurant que même si les mots de passe sont interceptés, ils restent protégés.
Cependant, il est important de noter que la cryptographie post-quantique ne protégera pas vos utilisateurs finaux contre le vol de leurs mots de passe via des logiciels malveillants, l’ingénierie sociale, ou la compromission par la réutilisation de mots de passe. Intéressé à savoir combien de vos mots de passe Active Directory sont déjà faibles ou compromis ? Effectuez une analyse en lecture seule avec notre outil gratuit : Specops Password Auditor.
Que dit le NIST sur la cryptographie post-quantique ?
Le National Institute of Standards and Technology (NIST) a été activement impliqué dans le développement et la standardisation d’algorithmes cryptographiques post-quantiques. En août dernier, le NIST a publié ses trois premiers standards de chiffrement post-quantique finalisés, conçus pour résister aux attaques des ordinateurs quantiques.
Voici un résumé de leurs principales recommandations et actions :
- Processus de standardisation : Le NIST mène un processus pluriannuel pour évaluer et standardiser les algorithmes cryptographiques post-quantiques. Ce processus implique plusieurs tours d’évaluation, où les algorithmes candidats sont rigoureusement testés pour la sécurité, les performances et la praticité.
- Algorithmes sélectionnés : En juillet 2022, le NIST a annoncé le premier ensemble d’algorithmes cryptographiques post-quantiques qui seront standardisés :
- Cryptographie pour les mécanismes d’encapsulation de clés (KEMs) : CRYSTALS-Kyber
- Cryptographie pour les signatures numériques : CRYSTALS-Dilithium, FALCON et SPHINCS+
- Conseils d’implémentation : Le NIST a fourni des conseils sur la façon dont les organisations peuvent se préparer à la transition vers la cryptographie post-quantique. Cela inclut :
- Approches hybrides : Utiliser une combinaison d’algorithmes classiques et post-quantiques pour assurer la sécurité pendant la période de transition.
- Agilité algorithmique : Concevoir des systèmes pour basculer facilement entre différents algorithmes cryptographiques à mesure que de nouveaux standards sont adoptés.
- Tests et validation : Le NIST souligne l’importance de tests approfondis et de validation des algorithmes post-quantiques pour s’assurer qu’ils répondent aux exigences de sécurité et de performance. Ils fournissent des vecteurs de test et d’autres ressources pour aider les développeurs et les organisations à tester leurs implémentations.
- Recherche continue : Le NIST continue de surveiller et de rechercher de nouveaux développements en cryptographie post-quantique. Ils envisagent également des algorithmes supplémentaires pour la standardisation à l’avenir. Ils offrent également une gamme de matériels éducatifs et d’ateliers pour aider les organisations à comprendre les implications de l’informatique quantique et les étapes nécessaires pour adopter la cryptographie post-quantique.
Y a-t-il des étapes que les organisations devraient prendre pour se préparer à l’ère quantique ?
Une grande partie de ce dont nous discutons ici est encore théorique. En termes pratiques, il n’y a pas d’étapes immédiates que vous devez prendre. Cependant, réfléchir à la transition vers les algorithmes post-quantiques maintenant facilitera les choses s’ils devaient être standardisés. Les systèmes sous-jacents qui gèrent le stockage et l’authentification des mots de passe pourraient avoir besoin d’être mis à niveau pour utiliser des algorithmes résistants aux quantiques à un moment donné dans le futur.
Pour l’instant, restez à jour avec les derniers développements en cryptographie post-quantique. Suivez les publications du NIST et d’autres sources réputées pour les mises à jour sur les algorithmes standardisés et les meilleures pratiques. Vous pourriez également envisager d’utiliser des schémas cryptographiques hybrides qui combinent des algorithmes classiques et post-quantiques – cela peut fournir une couche de sécurité supplémentaire pendant la période de transition.
Ne négligez pas les menaces traditionnelles de mots de passe
Rappelez-vous qu’il n’importe pas à quel point un mot de passe volé est fort. Nous avons mené des recherches sur le temps qu’il faut pour casser des mots de passe chiffrés avec des techniques de force brute, mais un mot de passe compromis est cassé instantanément. Les ordinateurs quantiques et la protection sont très peu susceptibles d’impacter la majorité des menaces de mots de passe auxquelles une organisation fait face – comme le phishing, les logiciels malveillants et les comportements risqués des utilisateurs finaux comme la réutilisation de mots de passe.
Les organisations continueront de s’appuyer sur les avantages que la sécurité des mots de passe fournit, notamment sa simplicité, sa flexibilité (les mots de passe peuvent facilement être réinitialisés) et son efficacité sous-jacente (ils sont soit corrects soit incorrects). La sécurité optimale dépend de la superposition d’authentification multifacteur par-dessus des politiques de mots de passe solides.
Specops Password Policy empêche les utilisateurs de créer des mots de passe faibles et facilement devinables, tout en analysant continuellement votre Active Directory pour plus de 4 milliards de mots de passe compromis. Contactez-nous pour découvrir comment Specops Password Policy pourrait s’intégrer dans votre organisation.