Ordinateur quantique : l'Australie, la NSA et la CISA listent les questions à poser à vos fournisseurs

Votre pare-feu, votre messagerie hébergée dans le cloud, votre logiciel de paie : aucun n'a été choisi pour son chiffrement. C'est pourtant de lui que dépendra votre protection le jour où un ordinateur quantique saura casser les algorithmes actuels comme RSA. Le 4 novembre, la NSA, l'agence américaine du renseignement électronique, et la CISA, l'agence américaine de cybersécurité, ont rejoint l'Australian Signals Directorate (ASD), son homologue australienne, pour diffuser un document au titre explicite : Post-quantum questions to ask your vendors, autrement dit les questions post-quantiques à poser à vos fournisseurs.

Le texte n'est pas entièrement neuf : l'ASD l'avait publié seule le 16 juillet. Mais l'appui des deux agences américaines lui donne une autre portée. Le constat de départ est simple. De nombreuses organisations utilisent des produits, des services managés et du cloud dont le fournisseur choisit et met en œuvre la cryptographie. Leur passage à la cryptographie post-quantique, conçue pour résister aux ordinateurs quantiques, dépend donc de la préparation, de la transparence et de la feuille de route de ces fournisseurs, soulignent les agences. Même une organisation experte, dotée d'un plan de transition abouti, peut voir ses efforts compromis par des faiblesses ou des retards dans sa chaîne d'approvisionnement.

Cinq étapes pour interroger un fournisseur

Les questions suivent les cinq phases du cadre de planification australien, baptisé LATICE : repérer et inventorier les usages de la cryptographie, évaluer le risque de chaque système, trier et prioriser ceux à migrer, déployer les algorithmes post-quantiques, puis échanger avec les fournisseurs et sensibiliser les parties prenantes. Elles ne visent aucun éditeur en particulier et servent à trois moments : l'achat, le renouvellement de contrat et le suivi régulier des prestataires.

Dans la version publiée en juillet par l'ASD, telle que la résume le site australien HG, on trouve par exemple ces questions. Le fournisseur tient-il un inventaire de la cryptographie utilisée dans ses produits, une « nomenclature cryptographique » ? Quels produits seront prêts assez tôt pour un déploiement avant fin 2030, l'horizon retenu par l'Australie ? La cryptographie post-quantique est-elle comprise dans la licence de base ? Si le produit propose un mode hybride, qui combine un algorithme classique et un algorithme post-quantique, quand passera-t-il au post-quantique seul ?

Pas une liste à cocher en bloc

Les agences le précisent : inutile d'envoyer toutes les questions à chaque prestataire. Il faut les choisir selon le niveau de risque du produit, la part de cryptographie que le fournisseur maîtrise, la sensibilité et la durée de vie des données, et l'avancement de votre propre transition. Un outil interne sans données sensibles n'appelle pas les mêmes exigences qu'un service qui conserve des données à garder secrètes pendant des années.

L'intérêt est d'interroger tôt. Selon les agences, un dialogue engagé en amont réduit le risque de découvrir trop tard qu'un produit ou un service critique ne pourra pas passer au post-quantique à temps.

Comment s'en servir en France

Ces questions ne remplacent pas le travail interne. Elles le prolongent. L'inventaire de vos propres usages de la cryptographie reste la première étape, comme le détaille notre guide de migration en six étapes. Les dates australiennes ne s'imposent pas non plus à une organisation européenne : en Europe, le calendrier coordonné vise 2030 pour les systèmes les plus sensibles, puis 2035, et l'Allemagne vient d'aligner sa propre migration sur ces échéances.

Concrètement, le prochain renouvellement de contrat d'un fournisseur critique est le bon moment pour glisser quelques-unes de ces questions. La réponse, ou l'absence de réponse, sera déjà une information précieuse.