Global Security Mag : Quelle sera votre actualité lors du Forum InCyber 2024 ?

Pierre Codis : Tomas Gustavsson, Chief PKI Officer chez Keyfactor (Stand B32) proposera, le 26 mars à 10h20 un atelier pratique sur le thème : « Le quantique arrive : ce qu’il faut savoir et comment préparer votre infrastructure de clés publiques (PKI) pour le post-quantique ».
Il abordera, notamment, comment la cryptographie post-quantique (PQC) va ouvrir la voie à une nouvelle ère de sécurité et pourquoi les entreprises doivent commencer à préparer leur infrastructure à clé publique (PKI) dès à présent. Une PKI efficace est, en effet, essentielle pour garantir la confiance numérique et mettre en place une stratégie de cybersécurité solide. Tomas Gustavsson partagera les étapes clés à suivre pour faire évoluer sa PKI et la rendre prête le « jour Q », quand les ordinateurs quantiques seront capables de casser toutes les méthodes de cryptage actuelle.

Global Security Mag : Quels sont les points forts des solutions que vous allez présenter à cette occasion ?

Pierre Codis : La solution de sécurité "identity-first" de Keyfactor propose aux entreprises d’aujourd’hui des solutions cryptographiques de protection des identités numériques des machines, des personnes et de l’IoT. En simplifiant la PKI, en automatisant la gestion du cycle de vie des certificats et en sécurisant chaque identité, Keyfactor aide les entreprises à établir rapidement la confiance numérique à grande échelle, et à la maintenir.
Les nouveaux standards comme NIS2, les diverses réglementations telle que la loi européenne sur la cyber-résilience (Cyber-resilience Act), mais aussi l’arrivée imminente du Post Quantique vont engager les entreprises à protéger leurs identités machine et à adopter la signature numérique et la cryptographie pour garantir l’intégrité et l’authenticité de l’ensemble de leurs équipements actifs et logiciels. Les technologies de KeyFactor permettent d’accompagner les entreprises dans leurs transformations numériques, au niveau sécurité, cryptographique, signature de codes et PKI.
Durant le Forum InCyber, nous allons nous focaliser sur les dernières avancées concernant nos solutions notamment dans le cadre des algorithmes Post Quantique. Keyfactor a intégré dans ses solutions l’utilisation d’un mode hybride et est capable d’accompagner ses clients et prospects dès maintenant, tout en s’adaptant au fur et à mesures aux différentes mises à jour de normes et standards imposées par l’IETF (Internet Engineering Task Force) et le NIST (National Institute of Standards and Technology, agence du département du Commerce des Etats-Unis). Notamment via notre PQC Lab (Post-Quantum Cryptography Lab) qui a vocation à explorer avec les entreprises les différentes stratégies possibles à partir d’outils open-source.

Global Security Mag : Cette année le Forum InCyber aura pour thème l’IA, quelles sont les principales cyber-menaces qui en sont issus ?

Pierre Codis : L’IA générative rend l’automatisation des processus beaucoup plus accessible, créant de nombreuses opportunités. Mais comme toute nouvelle technologie, elle s’accompagne également de risques. Il est probable que pendant que les entreprises augmentent leurs investissements dans l’IA, les cybercriminels adoptent exactement les mêmes stratégies. L’IA peut en effet leur permettre de créer très rapidement des malwares et de conduire à des attaques sur les logiciels et les appareils à la fois plus intelligentes et plus fréquentes, d’automatiser les attaques (DDoS, ...) sans aucune intervention humaine, de diffuser facilement des deep fakes, ou vidéos et images qui ont été numériquement modifiées pour déformer les sujets mais également de faciliter la création de contenus frauduleux, de propager de fausses informations, posant de sérieux problèmes de droits d’auteur, voire de porter atteinte à la confidentialité des données et d’impacter les communications en cours.

Global Security Mag : Avez-vous ou allez-vous intégrer des technologies d’IA dans vos solutions ?

Pierre Codis : Dans un monde de contenu généré par l’IA, il est difficile de savoir ce qui est réel ou manipulé, original ou modifié. La règle était auparavant de "faire confiance et vérifier", mais des avancées comme l’IA générative ont changé la donne. La solution de signature cryptographique de Keyfactor est une solution éprouvée qui fournit les éléments nécessaires à la mise en place d’un cadre de confiance et de transparence. Elle valide l’authenticité, l’origine et intégrité du contenu et permet d’envoyer des données sur des canaux cryptés pour éviter leur interception par des groupes malveillants.

Global Security Mag : Comment les technologies doivent-elles évoluer pour contrer ces menaces ?

Pierre Codis : Que nous soyons prêts ou non, l’ère de l’IA générative est arrivée, et la seule façon d’avancer avec succès est de se concentrer sur la confiance et la transparence. Les prochaines étapes consistent à intégrer une approche de signature cryptographique systématique dans de nouveaux domaines (images, vidéos, ...) pour s’assurer qu’ils sont utilisés correctement, et à éduquer le public sur ce qu’il faut rechercher pour vérifier l’authenticité. C’est alors que nous pourrons commencer à profiter de tous les avantages (et ils sont nombreux !) de l’IA générative.
Par ailleurs, l’IA va jouer un rôle important dans la sécurité de l’IoT, pour le meilleur et pour le pire. Cette technologie peut être utilisée pour le développement de codes ou la conception de produits afin de faire progresser le développement de produits et lancer plus efficacement de nouveaux concepts. Toutefois, elle facilitera les attaques sur des implémentations à algorithmes faibles, qu’il n’y aura pas d’autre choix que de rajouter des Secure Elements ou des microcontrôleurs (MCU) sécurisés pour exécuter de meilleurs algorithmes cryptographiques et de s’appuyer sur leurs implémentations robustes, telles que Bouncy Castle pour les serveurs et les HSM et TO-Protect de Trusted Objects pour les MCU.

Global Security Mag : Quel message souhaitez-vous transmettre aux RSSI ?

Pierre Codis : La confiance zéro et la gouvernance cryptographique sera la priorité de nombreuses entreprises en 2024. Mais face à des infrastructures IT obsolètes, à la migration vers le cloud, à un manque fonctionnel pour les nouveaux cas d’usage, à des autorités de certification racine à renouveler etc…, les entreprises vont devoir revoir leurs architectures de sécurité et procéder aux ajustements et mises à jour nécessaires pour exploiter tout le potentiel de cette approche mais également moderniser leur PKI pour renforcer efficacement leur posture de sécurité et atténuer les risques.
L’application de la norme NIS2, visant à harmoniser et à renforcer la cybersécurité des infrastructures critiques sur le marché européen, va entrer en vigueur le 18 octobre prochain. Il est donc grand temps pour les entreprises d’agir. Certes, elles se sont informées et ont réfléchi au sujet en 2023 mais, cette année, elles vont devoir passer en mode adoption et implémentation. NIS2 encourage les entreprises à introduire une approche zero-trust, des mises à jour logicielles régulières, la gestion des risques, la gestion de l’identité et de l’accès, la signature de code, l’authenticité des logs d’audits, etc…, des mesures qui reposent toutes sur une PKI et une gestion appropriée des certificats.
Enfin, si 2023 était l’année du questionnement et de la prise d’informations sur le post-quantique, 2024 sera l’année de l’action et dès le 2ème semestre, les entreprises devront se préparer et budgéter le post-quantique. Effectuer un inventaire de leurs assets cryptographiques existants, via des solutions CLM, puis mener des tests et des PoCs (Proof of concept) de "crypto-agilité" seront des étapes indispensables.