Résoudre le problème quantique du Pentagone
HONOLULU—Se préparer à une attaque informatique quantique signifie deux choses : savoir exactement quels systèmes devront être mis à niveau et s’assurer que tout le monde comprend la gravité du risque pour les données sensibles protégées par un cryptage standard.
« Nos adversaires utilisent le quantique. Dans quelle mesure leurs capacités sont-elles avancées ? Nous ne le savons pas totalement. Mais la réalité est que cela présente certaines menaces, et le défi avec, vous savez, la cryptographie post-quantique est cette idée de ‘récolter maintenant, décrypter plus tard' », a déclaré Matt McFadden, vice-président de la cybersécurité chez GDIT, lors d’une table ronde à la conférence TechNet Info-Pacific ici. « La réalité est qu’avec le principe » récoltez maintenant, décryptez plus tard « , nos adversaires peuvent récolter des données pendant très, très longtemps », et éventuellement un ordinateur quantique sera capable de briser le cryptage standard utilisé aujourd’hui.
La cryptographie post-quantique, ou les algorithmes mathématiques nécessaires pour sécuriser les réseaux et les systèmes contre les attaques utilisant des ordinateurs quantiques, est un défi que chaque service militaire doit relever. Mais la Maison Blanche a fixé un délai pour que les agences fédérales – d’ici le 31 décembre 2030 – pour les actifs de grande valeur et les systèmes à fort impact « utilisent le PQC pour l’établissement de clés » dans un décret publié le 22 juin. La date limite « pour utiliser le PQC pour les signatures numériques » est 2031.
« C’est justement ce vecteur de menace supplémentaire dont nous devons nous préoccuper alors que nous développons notre architecture résiliente », a déclaré le colonel Tassika Davis, directeur des cyberopérations et des communications des combattants du Commandement des forces aériennes du Pacifique. « Maintenant, nous devons nous assurer que nos architectures sont cryptographiquement agiles, afin que nous puissions changer, nous déplacer et continuer, sans dégrader la capacité de mission, tout en fournissant également les capacités de défense les plus récentes. »
Pour ce faire, il faut cartographier l’ensemble de l’écosystème informatique tel qu’il est, « l’examiner à partir de l’ensemble des menaces, puis planifier en conséquence », a-t-elle déclaré.
Cela semble simple, mais savoir exactement ce qui doit être protégé est une première étape clé, mais difficile, a déclaré McFadden du GDIT lors du panel.
« Il est difficile de migrer quand on ne sait pas ce que l’on a. Donc, en réalité, la première étape de ce processus consiste à disposer d’un inventaire complet », a-t-il déclaré, comprenant des certifications pour les applications, les appareils et les réseaux. « L’une des choses que vous réalisez assez rapidement, c’est que vous êtes très dépendant des fournisseurs tiers… vous devez vraiment travailler avec les propriétaires de systèmes, les fournisseurs tiers, vos chaînes d’approvisionnement, et essentiellement constituer cette équipe de gouvernance pour aider à favoriser la conformité et l’agilité cryptographique, ou la capacité à lutter contre les cybermenaces quantiques.
Sécuriser les systèmes contre une menace post-quantique devient plus compliqué lorsque les plates-formes qui doivent être mises à niveau ne restent pas longtemps au même endroit.
« Les navires sont plus étendus qu’ils ne l’ont été. Il y a des crises qui surgissent partout. Et nous étions dans une période de disponibilités (de maintenance), ce qui signifie que nous avions environ neuf mois à un an pour procéder à la modernisation. Maintenant, vous avez 45 jours », a déclaré le capitaine Victor Taylor, directeur des communications et des systèmes d’information de la flotte du Pacifique, lors du panel. « Alors, comment puis-je diviser ces gros éléments de modernisation en fenêtres modulaires… plus courtes ? Comment exécuter la gestion de la configuration ? Comment disposer des équipes nécessaires pour le faire à grande échelle sur plusieurs sites ? Et puis, comment puis-je le planifier avec tous les changements dynamiques qui se produisent ? Et donc, si nous pensons que nous allons faire cela avec nos anciens processus, ce n’est pas le cas. «
Et une partie du Pentagone et des services militaires qui modernisent leurs systèmes de grande valeur pour résister à une attaque quantique veilleront à ce que les individus soient conscients de la menace quantique.
« La première chose est de reconnaître qu’il s’agit d’un réel problème. Le Jour Q n’est pas une chose qui va durer au-delà de notre retraite. Le Jour Q va se produire… certainement dans les cinq prochaines années », a déclaré Peter O’Donoghue, directeur de la technologie de Quantum Sky. Défense Un après le panneau. « Donc, vous devez le planifier. Vous devez réellement le financer. »
Le Pentagone a publié une stratégie de cryptographie post-quantique plus tôt cette année. Et sa mise en œuvre « pourrait s’ajouter à la modernisation du réseau existant du Pentagone », a déclaré O’Donoghue.
Mais la façon dont les organisations mettent à niveau leurs systèmes variera et il faudra en prendre conscience, a-t-il déclaré.
« Il n’y a pas de solution universelle, mais je pense que chaque ministère, chaque agence doit réellement comprendre quel est le risque, commencer à le minimiser et à agir. Comme rester les bras croisés et entrer dans une sorte de paralysie de l’analyse n’est pas la réponse. Le nier n’est certainement pas la réponse non plus », a déclaré O’Donoghue.
