Measuring Post-Quantum TLS Deployment Across UK Internet Sectors
Cette étude de 4 665 organisations britanniques révèle que le déploiement observable de la cryptographie post-quantique est très inégal et fragmenté, principalement dicté par les décisions des fournisseurs d'infrastructure plutôt que par le secteur de l'organisation, avec une adoption nettement plus élevée pour HTTPS par rapport à SMTP et une absence notable de signatures de certificats post-quantiques.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez l'internet comme une ville géante et bouillonnante où chaque bâtiment est un site web, un serveur de messagerie ou un service de cloud. Pour garder les portes verrouillées et les secrets en sécurité, ces bâtiments utilisent des clés numériques spéciales appelées cryptographie. Depuis des décennies, ces clés sont incroyablement solides, mais des scientifiques s'inquiètent d'une future « super-clé » capable de toutes les briser. Cette super-clé provient d'un nouveau type d'ordinateur appelé ordinateur quantique, qui est encore en cours de construction mais dont on attend qu'il soit assez puissant pour faire sauter les verrous actuels. Pour se préparer, des experts conçoivent de nouveaux verrous résistants au quantique, appelés Cryptographie Post-Quantique (PQC). La grande question pour les gouvernements et les entreprises est la suivante : « Sommes-nous réellement en train d'installer ces nouveaux verrous sur nos portes, ou ne faisons-nous que way en parler ? » Ce document est comme une inspection massive à l'échelle de la ville pour voir exactement combien de bâtiments au Royaume-Uni ont réellement installé ces nouveaux verrous futuristes sur leurs portes d'entrée.
Les auteurs, Konstantinos Loizou et Essam Ghadafi de l'Université de Newcastle, ont décidé d'examiner ce problème de manière très spécifique et astucieuse. Au lieu de simplement scanner les sites web les plus populaires (comme si l'on ne vérifiait que les gratte-ciel du centre-ville), ils ont créé une carte équilibrée de 4 665 organisations différentes réparties dans dix secteurs distincts, allant des banques et des hôpitaux aux universités et aux bureaux gouvernementaux. Ils ont vérifié deux types de « portes » principaux : le web (HTTPS, qui est le verrou que vous voyez lorsque vous visitez un site web) et l'e-mail (SMTP, qui est le verrou utilisé pour envoyer et recevoir des messages). Ils voulaient voir si ces organisations utilisaient réellement les nouvelles méthodes d'échange de clés résistantes au quantique.
Voici ce qu'ils ont découvert, et c'est un bilan mitigé. Premièrement, ils ont découvert que les nouveaux verrous font leur apparition, mais principalement sur le web. Environ 44 % des sites web accessibles qu'ils ont vérifiés possédaient au moins une de ces nouvelles clés résistantes au quantique installée. Cependant, lorsqu'ils ont examiné les serveurs de messagerie, le tableau était beaucoup plus sombre : seuls environ 6,4 % des services de messagerie possédaient les nouvelles clés. Il s'avère que si une organisation possède le nouveau verrou sur son site web, elle est environ 17 fois plus susceptible de l'avoir sur son serveur de messagerie que si elle ne l'avait pas, mais même dans ce cas, la plupart des serveurs de messagerie utilisent encore les anciens verrous, potentiellement vulnérables.
Le rebondissement le plus surprenant de cette histoire concerne qui installe réellement ces verrous. Vous pourriez penser qu'une banque serait très différente d'une entreprise technologique dans sa rapidité de mise à niveau, mais l'étude a révélé que le secteur d'activité de l'organisation importait moins que celui qui gérait le bâtiment. C'est comme réaliser que le fait qu'une maison possède un nouveau système de sécurité dépend entièrement du propriétaire, et non de la famille qui y vit. Les chercheurs ont découvert qu'une poignée infime de grands fournisseurs d'infrastructures (des entreprises comme Cloudflare, Google et Amazon) étaient responsables de presque tous les nouveaux verrous observés. Par exemple, 95 % des sites web hébergés par Cloudflare possédaient les nouvelles clés, tandis que les serveurs de messagerie hébergés par Microsoft n'en avaient aucune. En fait, pour les e-mails, Google était le seul grand fournisseur possédant les nouvelles clés, représentant la quasi-totalité de l'adoption observée.
Le document a également vérifié les « signatures » sur les certificats (les cartes d'identité numériques qui prouvent qu'un bâtiment est bien ce qu'il prétend être). Ils ont découvert que, bien que les clés des portes commençaient à être résistantes au quantique, les cartes d'identité utilisaient encore les anciennes signatures classiques. Personne n'était encore passé aux nouvelles cartes d'identité résistantes au quantique. Cela suggère que si la porte d'entrée se renforce, la manière de vérifier qui se tient là n'a pas changé.
En résumé, l'étude suggère que lorsque nous voyons un site web avec un verrou résistant au quantique, c'est souvent parce que la grande entreprise technologique qui l'héberge a décidé de faire la mise à jour, et non parce que l'organisation spécifique qui gère le site a élaboré un plan spécial pour le faire. Cela signifie que le simple fait de regarder un site web et de voir un nouveau verrou ne signifie pas nécessairement que toute l'organisation est prête pour le futur quantique ; cela peut simplement signifier que son propriétaire est en avance sur son temps. Les chercheurs concluent que nous devons être prudents pour ne pas confondre ces mises à niveau visibles avec une migration complète à l'échelle de l'organisation, car les systèmes de messagerie et les cartes d'identité numériques attendent encore en coulisses.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.