L’avancée continue de l’informatique quantique expérimentale soulève des inquiétudes quant à la sécurité des systèmes de cryptographie à clé publique les plus utilisés dans le monde. Une fois suffisamment développés, ces ordinateurs quantiques pourraient briser ces algorithmes, menaçant la confidentialité des données et l’intégrité des transactions numériques.
Depuis août 2024, les nouvelles normes de cryptographie post-quantique (PQC) du National Institute of Standards and Technology (NIST) permettent aux entreprises technologiques d’amorcer leur transition vers des solutions plus sûres. Google Cloud vient d’annoncer la prévisualisation de signatures numériques quantiquement sûres (FIPS 204/FIPS 205) dans son service Google Cloud Key Management Service (Cloud KMS) pour les clés logicielles. Cette annonce marque une étape importante dans la stratégie post-quantique de Google, qui inclut également ses modules de sécurité matérielle (Cloud HSM) et l’ensemble de son infrastructure de chiffrement.
Une stratégie post-quantique déployée sur plusieurs fronts
Dès 2016, l’entreprise a commencé à tester la PQC dans Chrome, puis en 2022, elle a commencé à l’utiliser pour protéger ses communications internes. Depuis, elle a mis en place plusieurs mesures pour renforcer ses protections, notamment dans ses serveurs de centres de données et dans les connexions entre Chrome Desktop et ses services comme Gmail et Cloud Console.
Désormais, Google Cloud KMS s’oriente vers une sécurisation totale contre les menaces quantiques. Cela inclut le support des algorithmes PQC standardisés par le NIST (FIPS 203, FIPS 204, FIPS 205 et futurs standards) en logiciel et en matériel. Cette approche vise à permettre aux clients de Google Cloud d’importer et d’échanger des clés de manière sécurisée, d’exécuter des opérations de chiffrement et de déchiffrement et de générer des signatures numériques résistantes aux futures attaques quantiques.
Une transition vers une infrastructure cryptographique transparente
Dans le but de garantir une transparence totale et une auditabilité de son code, Google mettra à disposition les implémentations logicielles de ces standards pour Cloud KMS en open source. Elles seront intégrées aux bibliothèques cryptographiques ouvertes BoringCrypto et Tink, développées par Google. Cette initiative vise à permettre aux entreprises et aux experts en sécurité d’analyser ces algorithmes et de les intégrer à leurs propres solutions de sécurité.
De plus, Google collabore activement avec les fournisseurs de modules de sécurité matérielle (HSM) et les partenaires de Google Cloud External Key Manager (EKM) afin d’assurer une migration réussie vers une cryptographie post-quantique pour tous les clients de Google Cloud.
Lancement des signatures numériques quantiquement sûres dans Cloud KMS
Une avancée majeure de cette stratégie est l’introduction des signatures numériques quantiquement sûres dans Cloud KMS. Cette nouvelle fonctionnalité permet aux clients d’utiliser l’API Cloud KMS pour signer numériquement des données et vérifier les signatures à l’aide d’algorithmes PQC standardisés par le NIST. Cette évolution est essentielle pour aider les entreprises à tester et intégrer ces nouvelles méthodes dans leurs flux de travail avant leur adoption élargie.
Les nouvelles signatures numériques de Cloud KMS offrent deux algorithmes PQC récents : ML-DSA-65 (basé sur les réseaux euclidiens, spécifié dans FIPS 204) et SLH-DSA-SHA2-128S (une signature basée sur le hachage sans état, définie dans FIPS 205). Ces signatures sont conçues pour résister aux attaques des futurs adversaires disposant d’ordinateurs quantiques capables de casser les systèmes cryptographiques classiques.
Google remplace l’authentification par SMS par un code QR plus sécurisé
Aprés le quantique, les mots de passe et la double authentification. Google prévoit de modifier son système d’authentification en deux étapes (2FA) en abandonnant l’envoi de codes par SMS au profit d’un code QR. Cette nouvelle mesure vise à renforcer la sécurité des comptes et à limiter les risques liés à l’interception des SMS.
Le système actuel repose sur l’envoi d’un code à six chiffres par SMS pour vérifier l’identité de l’utilisateur. Cependant, Google estime que ce procédé présente des failles, notamment la possibilité d’interception des SMS par des cybercriminels. Ces derniers peuvent utiliser diverses techniques comme l’attaque par SIM swapping ou le phishing pour obtenir ces codes et compromettre les comptes des utilisateurs.
Bien que la vérification en deux étapes par SMS reste préférable à une absence totale de protection, elle demeure vulnérable à des attaques sophistiquées. Google cherche donc à améliorer la protection des comptes en adoptant une méthode plus robuste.
Le code QR, une alternative plus fiable ?
L’alternative envisagée par Google repose sur l’utilisation d’un code QR. Concrètement, lorsqu’un utilisateur tente de se connecter à son compte Google sur un nouvel appareil, il devra scanner un code QR avec son smartphone. Cette approche, similaire à celle utilisée par l’application Itsme, offre plusieurs avantages : Contrairement aux SMS, les codes QR ne transitent pas par un réseau mobile potentiellement vulnérable. Un simple scan permet une authentification rapide sans nécessité de mémoriser ou de saisir un code. L’authentification par QR nécessite un accès physique à l’appareil de l’utilisateur, ce qui complique grandement les tentatives d’usurpation.
Google et la lutte contre les faux comptes
Outre l’amélioration de la sécurité individuelle, Google espère aussi limiter la création massive de faux comptes Gmail utilisés pour envoyer du spam ou mener des campagnes de phishing. Actuellement, les criminels peuvent générer des milliers de comptes en automatisant la réception et l’insertion de codes SMS. L’utilisation d’un code QR pour valider un compte complique ces pratiques et renforce la fiabilité des comptes créés.
Pour suivre l’actualité cybersécurité en temps réel, inscrivez-vous à la newsletter et rejoignez nos canaux WhatsApp et réseaux sociaux !
