Infrastructures financières : plan NIST post-quantique

Beaucoup de conseils d’administration pensent que la cryptographie post-quantique (PQC) peut attendre l’usage commercial des grands ordinateurs quantiques. Pour les institutions financières, les opérateurs télécoms et les exploitants d’infrastructures nationales, le risque a déjà commencé.

Pourquoi c’est un problème dès aujourd’hui

Des attaquants collectent déjà des données chiffrées pour les lire plus tard. On appelle cela « récolter maintenant, déchiffrer plus tard ». Ils interceptent et stockent aujourd’hui le trafic TLS chiffré, les flux de règlement interbancaire et les sauvegardes de bases de données, certains que RSA-2048 et la cryptographie sur courbes elliptiques (ECC) seront cassés tant que ces données comptent encore.

Si vous détenez des secrets d’État, des prêts à long terme ou des registres d’identité permanents, des données qui doivent rester confidentielles pendant 10 à 25 ans sont exposées dès qu’elles quittent votre réseau avec les chiffrements actuels.

NIST a désormais publié ses normes post-quantiques définitives, dont FIPS 203 (ML-KEM) pour le chiffrement et FIPS 204 (ML-DSA) pour les signatures numériques. Les régulateurs et les banques centrales passent des recommandations à des calendriers de migration obligatoires.

Le problème caché : la cryptographie intégrée aux anciens systèmes

Passer aux normes post-quantiques est rarement aussi simple que mettre à jour une bibliothèque OpenSSL. Lorsque nos ingénieurs principaux examinent des systèmes d’entreprise établis, trois obstacles reviennent sans cesse :

• Une cryptographie cachée. Les anciennes intégrations ERP, les ponts mainframe et les modules de sécurité matériels (HSM) utilisent souvent des suites de chiffrement figées, des certificats épinglés ou des échanges de clés obsolètes, enfouis dans un intergiciel que personne ne maintient.

• Des clés plus grosses, des poignées de main plus lourdes. Les clés et signatures post-quantiques, comme ML-KEM et ML-DSA, sont bien plus grosses que celles de RSA et d’ECDSA. Sur des passerelles de paiement très sollicitées ou des réseaux OT et IoT contraints, des poignées de main plus grosses peuvent fragmenter des paquets, déborder des tampons et déclencher des chaînes de dépassements de délai.

• Des partenaires qui ne sont pas prêts. Vos propres systèmes peuvent prendre en charge l’échange de clés hybride. Mais si votre chambre de compensation, votre acquéreur de cartes ou votre passerelle fiscale exige encore d’anciens réglages TLS, les connexions échouent sauf si une couche proxy gère la différence.

Une feuille de route en quatre étapes vers l’agilité cryptographique

Chez XSIS, forts de l’héritage de KONG GROUP en ingénierie cryptographique, nous accompagnons les entreprises dans le passage à la cryptographie post-quantique sans risquer la disponibilité de la production.

1. Cartographier chaque clé et chaque certificat

On ne peut pas migrer ce que l’on n’a pas cartographié. Nous combinons une supervision réseau passive, une analyse du code et une découverte des certificats dans vos dépôts, vos API et votre infrastructure. Le résultat est un inventaire des composants cryptographiques (CBOM) : chaque certificat, longueur de clé, suite de chiffrement et dépendance cryptographique.

2. Classer les systèmes par risque

Tout n’a pas besoin de migrer en même temps. Nous classons les systèmes selon la durée pendant laquelle leurs données doivent rester secrètes et selon leur exposition. Les connexions bancaires externes host-to-host, les registres nationaux d’identité et les liaisons entre centres de données passent avant la télémétrie interne de courte durée.

3. Ajouter un échange de clés hybride

Au lieu d’une bascule risquée à une date unique, nous déployons des modes hybrides qui combinent ECDHE classique et ML-KEM post-quantique au contrôleur d’entrée, à la passerelle API et dans le maillage de services. Les systèmes plus anciens continuent de fonctionner, la conformité FIPS existante tient, et le trafic est protégé contre « récolter maintenant, déchiffrer plus tard » dès ce jour.

4. Intégrer l’agilité cryptographique

Nous plaçons le chiffrement et la signature de vos applications derrière des fournisseurs cryptographiques partagés et des HSM prêts pour le post-quantique. Quand les algorithmes changent ou que de nouvelles règles arrivent, vous faites tourner les suites de chiffrement en changeant une politique, pas en réécrivant du code.

Par où commencer

La migration post-quantique commence par la connaissance de ce que vous avez. Réservez une revue de préparation avec un architecte cyber principal de XSIS pour cadrer un inventaire non intrusif de la cryptographie de vos systèmes bancaires, ERP et cloud.