Archives par mot-clé : nist

Chiffrement, cryptage, Cybersécurité, quantique

Le « Jour Q » menace-t-il le chiffrement mondial ?



L’échéance quantique se rapproche. Dès 2029, des ordinateurs pourraient menacer les protections numériques qui sécurisent banques, États, entreprises, communications et données personnelles.

Le « Jour Q » (Q-Day) désigne le moment où un ordinateur quantique assez puissant pourra compromettre les principaux systèmes cryptographiques actuels. Longtemps relégué à un avenir lointain, ce scénario pourrait survenir dès 2029 selon de récentes projections de Google. Cette accélération place gouvernements, entreprises technologiques et agences de cybersécurité face à une course critique. Le chiffrement RSA, utilisé pour protéger transactions bancaires, courriels, dossiers médicaux ou portefeuilles de cryptomonnaies, figure parmi les mécanismes les plus exposés. Une menace existe déjà : des acteurs hostiles peuvent collecter aujourd’hui des données chiffrées afin de les rendre lisibles lorsque les capacités quantiques auront suffisamment progressé.

Une rupture annoncée pour la sécurité numérique

Le fonctionnement de l’économie numérique repose sur une promesse discrète : certaines opérations mathématiques sont trop longues à résoudre avec les ordinateurs classiques. Les méthodes cryptographiques modernes utilisent cette difficulté pour protéger les échanges, authentifier les utilisateurs et empêcher l’accès aux informations sensibles. Apple a derniérement affiché ses premiers codes dédiés à répondre au cyber actions quantiques.

Le chiffrement RSA illustre ce principe. Sa robustesse dépend notamment de la difficulté à factoriser de très grands nombres. Les machines traditionnelles auraient besoin d’un temps considérable pour accomplir une telle opération lorsque les clés employées sont suffisamment longues. Cette contrainte rend les attaques directes irréalistes dans la plupart des situations.

L’informatique quantique pourrait bouleverser cet équilibre. Un ordinateur classique manipule des bits prenant la valeur zéro ou un. Un système quantique exploite d’autres propriétés physiques pour traiter les informations différemment. Cette architecture ouvre la voie à une résolution beaucoup plus efficace de certains problèmes complexes.

Le Q-Day ne correspond donc pas nécessairement à l’apparition d’une machine universelle surpassant tous les supercalculateurs. Il désigne plus précisément le seuil à partir duquel un système quantique devient assez stable, puissant et doté de ressources suffisantes pour casser des protections cryptographiques essentielles.

Une fois ce seuil franchi, des données considérées comme sûres pourraient devenir accessibles en quelques heures ou quelques jours, au lieu de milliards d’années. Les conséquences toucheraient les paiements, les communications électroniques, les informations médicales, la géolocalisation, les secrets industriels et les documents gouvernementaux.

La projection évoquant 2029 a raccourci brutalement le calendrier perçu. Pendant des années, les responsables de la sécurité ont estimé disposer d’un délai confortable pour remplacer les algorithmes vulnérables. Cette marge paraît désormais plus étroite, alors que la migration de vastes infrastructures nécessite des inventaires, des tests, des mises à jour et une coordination durable.

La comparaison avec le bogue de l’an 2000 traduit l’ampleur organisationnelle du chantier. À l’époque, une mobilisation internationale avait permis de limiter les perturbations liées au changement de date. Le risque quantique est toutefois plus profond, puisqu’il touche les mécanismes de confiance placés au cœur des communications modernes.

Une course mondiale vers le post-quantique

La menace ne commence pas le jour où une machine quantique opérationnelle apparaît. Des groupes criminels ou des services de renseignement peuvent déjà intercepter des informations chiffrées et les conserver. Cette stratégie, appelée « collecter maintenant, déchiffrer plus tard », vise les données dont la valeur persistera pendant plusieurs années.

Des dossiers médicaux, des secrets diplomatiques, des recherches industrielles ou des identités confidentielles peuvent rester sensibles longtemps après leur vol. Leur chiffrement actuel bloque encore leur exploitation. Une avancée quantique future pourrait toutefois transformer ces archives illisibles en ressources de renseignement.

Cette perspective impose de considérer la confidentialité sur toute la durée de vie des informations. Une organisation qui protège correctement ses communications aujourd’hui peut néanmoins subir demain les effets d’une interception déjà réalisée. Le danger concerne donc autant les données stockées que les échanges futurs.

La réponse privilégiée repose sur la cryptographie post-quantique. Ces nouveaux algorithmes utilisent des problèmes mathématiques jugés résistants aux capacités attendues des ordinateurs quantiques. Leur objectif consiste à remplacer progressivement les mécanismes exposés sans interrompre les services numériques.

Google encourage une adoption accélérée de ces protections et diffuse des recommandations destinées au secteur technologique. De leur côté, des cryptographes conçoivent puis évaluent plusieurs familles d’algorithmes. Le National Institute of Standards and Technology a déjà retenu différents mécanismes considérés comme adaptés aux menaces quantiques.

Cette transition ne se limite pas à installer un nouveau logiciel. Les entreprises doivent identifier les endroits où le chiffrement intervient, vérifier la compatibilité des équipements, renouveler certaines clés et adapter leurs procédures. Les systèmes anciens, les objets connectés et les infrastructures difficiles à modifier représentent des points de fragilité particuliers.

Aucune méthode ne garantit une sécurité absolue. Le chiffrement ressemble davantage à un coffre conçu pour résister pendant une période donnée qu’à une protection éternelle. Sa valeur dépend de la solidité mathématique, de la qualité de l’implémentation et de la capacité des organisations à réagir aux découvertes.

Les autorités américaines ont engagé leurs propres préparatifs. En 2022, la NSA a annoncé un renforcement de la préparation nationale durant les années 2030. Les administrations Biden et Trump ont également publié des décrets insistant sur la protection des infrastructures face aux risques quantiques.

La NSA vise désormais un durcissement de ses systèmes d’ici 2031. Cette échéance reste susceptible d’évoluer au rythme des progrès scientifiques. L’incertitude ne réduit pas la menace : elle complique au contraire la planification, car une migration trop lente peut laisser des données stratégiques exposées.

Le « Jour Q » demeure hypothétique, tandis que la collecte hostile de données chiffrées constitue déjà un enjeu concret de cyberdéfense et de renseignement.

Cybersécurité, double authentification, Entreprise

Remplacer les mots de passe tous les mois ? Plus utile selon le NIST

La sécurité des mots de passe reste un enjeu majeur dans la protection des systèmes numériques et des données sensibles. Le guide du NIST, « Special Publication 800-63B », aborde en détail les pratiques à suivre pour garantir une gestion et une utilisation des mots de passe conformes aux normes de sécurité modernes.

Le National Institute of Standards and Technology (NIST) est l’autorité fédérale américaine. Sa mission, mettre en place des normes technologiques qui s’appliquent aux entreprises américaines. Ses recommandations dépassent les frontière et font, la plupart du temps, référence à l’échelle mondiale. Le guide SP 800-63B du National Institute of Standards and Technology place l’authentification au cœur de la protection des systèmes d’information avec quelque chamboulement. Le NIST rappelle que l’authentification est subdivisée en trois niveaux d’assurance, appelés AAL (Authentication Assurance Levels), qui varient en fonction du niveau de sécurité nécessaire :

AAL1 : Authentification à faible niveau d’assurance, généralement un mot de passe seul.
AAL2 : Authentification nécessitant au moins deux facteurs (par exemple, mot de passe et un facteur physique comme un smartphone ou une clé de sécurité).
AAL3 : Authentification à très haut niveau d’assurance, requérant des méthodes robustes et cryptographiquement sécurisées.

L’un des aspects critiques du SP 800-63B concerne la gestion des mots de passe à tous les niveaux d’authentification.

Traditionnellement, les politiques de sécurité exigeaient des mots de passe complexes, avec des règles telles que l’obligation d’inclure des caractères spéciaux, des chiffres et des majuscules. Le NIST recommande un changement d’approche radical. Plutôt que de forcer la complexité, le guide encourage à privilégier des mots de passe plus longs (au moins 8 caractères) qui sont plus faciles à retenir pour les utilisateurs mais plus difficiles à deviner pour les attaquants. Les mots de passe de 64 caractères ou plus sont autorisés, et les restrictions de complexité doivent être minimisées pour encourager l’utilisation de phrases de passe.

Une autre recommandation du NIST consiste à abandonner les politiques de changement de mot de passe régulier, qui peuvent avoir des effets contre-productifs. Lorsqu’on oblige les utilisateurs à changer leurs mots de passe trop fréquemment, cela les conduit souvent à choisir des mots de passe plus simples ou à réutiliser des variantes faciles à deviner. Bilan, le NIST préconise de ne pas imposer de changement de mot de passe à moins qu’il y ait une raison spécifique, comme la détection d’une compromission. Cela permet de diminuer le stress des utilisateurs tout en garantissant une meilleure protection des comptes.

Désactivation des contraintes inutiles

Le guide déconseille également l’utilisation de règles de composition restrictives qui refusent certains caractères ou qui exigent des combinaisons spécifiques. Cela inclut également la désactivation des systèmes qui empêchent les utilisateurs de copier-coller ou de générer automatiquement des mots de passe, une pratique courante avec les gestionnaires de mots de passe. Le but est de faciliter la création de mots de passe sécurisés tout en réduisant le fardeau cognitif sur les utilisateurs. Le NIST recommande que les mots de passe proposés par les utilisateurs soient vérifiés par rapport à des listes de mots de passe compromis, communément disponibles après des violations de données. Cela inclut les mots de passe courants, les mots de passe exposés et les termes prévisibles associés à des informations personnelles. En bloquant l’utilisation de ces mots de passe connus, le risque de compromission est considérablement réduit. A noter que le Service Veille ZATAZ, entreprise Française, est capable de vous alerter lors de la compromission des informations de votre entreprise, dont les mots de passe.

Les attaques par force brute, où un pirate (ou ses logiciels automatisés) tente d’essayer toutes les combinaisons possibles de mots de passe, restent une menace constante. Le NIST suggère des mesures pour limiter ces tentatives, comme l’introduction de temporisations après un certain nombre d’échecs de connexion. De nombreux sites utilisent cette solution, dont Data Security Breach. L’utilisation d’authentification multi-facteurs est également une défense efficace contre ces types d’attaques, car le hacker malveillant doit non seulement deviner un mot de passe, mais également obtenir un second facteur, ce qui est « quasiment » impossible rapidement et efficacement. Le NIST recommande l’authentification multi-facteurs (MFA) comme méthode essentielle pour garantir une sécurité accrue. Le MFA combine généralement un mot de passe avec quelque chose que l’utilisateur possède (comme un téléphone ou une clé de sécurité) ou quelque chose qu’il est (comme une empreinte digitale). Concernant la biométrie (contrôle par l’empreinte palmaire, l’iris, Etc), le NIST encourage à ne pas utiliser la biométrie comme unique facteur.

Algorithmes de hachage obsolètes

Le NIST déconseille de stocker les mots de passe en texte clair ou sous une forme faiblement protégée, comme les algorithmes de hachage obsolètes (par exemple, MD5 ou SHA-1). Il est essentiel d’utiliser des méthodes modernes de protection des mots de passe comme l’algorithme de hachage sécurisé PBKDF2 ou Argon2, qui ralentissent le processus de vérification hors ligne, rendant les attaques par force brute beaucoup plus difficiles. Les gestionnaires de mots de passe sont fortement recommandés par le NIST pour gérer la complexité de la création et de la mémorisation des mots de passe. Ces outils permettent aux utilisateurs de créer des mots de passe longs et uniques pour chaque service sans avoir à s’en souvenir, ce qui réduit le risque de réutilisation de mots de passe. Le guide suggère d’encourager les utilisateurs à adopter ces outils comme une solution viable pour renforcer leur sécurité personnelle.

Pour conclure, le NIST rappelle la base de la cyber : éducation ! L’un des éléments clés de la sécurité des mots de passe est la sensibilisation des utilisateurs. Les meilleures pratiques en matière de sécurité peuvent être inefficaces si les utilisateurs ne sont pas bien formés. Le NIST insiste sur l’importance de campagnes de sensibilisation pour encourager l’utilisation de phrases de passe, de gestionnaires de mots de passe et de l’authentification multi-facteurs. Il est également crucial que les utilisateurs comprennent les risques liés aux attaques par phishing et à la compromission de leurs identifiants.

Hacking

La reconnaissance faciale de Panasonic récompensée par le NIST

Pour la deuxième année consécutive, la technologie de reconnaissance faciale de Panasonic remporte l’un des meilleurs scores lors du test comparatif réalisé par l’institut national des normes et de la technologie aux États-Unis (National Institute of Standards and Technology, NIST).

En collaboration avec l’organisme de recherche avancée du renseignement américain IARPA (Intelligence Advanced Research Projects Activity), le NIST a testé la future version de la technologie de reconnaissance faciale de Panasonic, actuellement en cours de développement au sein du Centre d’innovation de l’entreprise. Le test comparatif se compose de huit épreuves de vérification, d’identification, de détection, de regroupement et de traitement d’images surchargées.

Il s’est déroulé sur la base de contenus réunissant 67 000 images et 700 vidéos de visages ainsi que 10 000 images sans visages pour inclure la comparaison des taux d’échec et de réussite de chaque algorithme. L’algorithme développé par Panasonic est ressorti premier du comparatif pour le critère « Cumulative Match Characteristic », soit la fraction de correspondances située au-dessus d’un seuil d’exactitude donné.

Le test est généralement réalisé à l’aide d’images de photojournalisme en raison de leur grande variété de poses, de luminosité, d’expression et d’occlusion, procurant ainsi le niveau de difficulté recherché.

« Notre score NIST est une excellente nouvelle ; il atteste encore une fois de notre engagement à apporter une valeur ajoutée supplémentaire et offrir une qualité optimale au sein de notre gamme de technologies de sécurité », commente Gerard Figols, Product Marketing Manager chez Panasonic Security Solutions. « Panasonic s’est imposé comme premier titulaire de brevets au monde tout au long des 30 dernières années : nous misons pleinement sur l’innovation, la recherche et le développement ».