The quantum computer is slowly becoming a reality

The field of quantum computing has seen many advances since the early research of the 1980s—especially that of Richard Feynman[i], and the emergence of the first quantum algorithms in the 1990s. The first prototype quantum computers appeared in the 2000s and, since the beginning of the 2010s, there has been a proliferation of substantive and encouraging announcements in the area. These include D-Wave Systems’s launch of the first commercial quantum computer[ii], IBM’s development of a cloud-based quantum machine[iii], and Google’s recent announcement on its new quantum processor[iv]. On a European scale, there has also been the launch of Atos’s quantum simulator,[v] which can test and optimize quantum algorithms for use in real conditions.

As we’ve discussed in a previous article[vi], the fundamental difference between conventional and quantum computers is that traditional machines work on a series of bits whose value is equal to 1 or 0, while quantum computers work on qubits whose value corresponds to a superposition of states[vii]. For a given problem, it’s sometimes possible to write a quantum algorithm which—by making use of this superposition of states and the quantum entanglement[viii] principle—can solve it more quickly than a conventional algorithm. Since such quantum acceleration can only be applied to a limited set of problems (i.e. those for which it’s possible to write a quantum algorithm) it’s likely that, in the future, quantum computers will be used in addition to—rather than in place of—conventional computers.

Today’s quantum computers have only a very small capacity. Google’s quantum processor is rated at 72-qubits, while Intel recently announced the development of a 49-qubit quantum processor[ix]. As an illustration, Google estimates that the number of qubits needed for a real application is between one and ten million. The main difficulty in designing a larger quantum computer lies in the fact that all external interactions induce the phenomenon of quantum decoherence—which means that the quantum entanglement it needs to operate can’t be maintained[x]. The higher the number of qubits, the more difficult it is to maintain the state of coherence. Doing so requires the system to be isolated at very low temperatures. In view of the current state of development, and the challenges still to be overcome, we may still be a long way from quantum computers being used in any practical application.

Classical cryptography’s applications

To understand the implications of quantum computers for cryptography, we first need to understand the principles of classical cryptography—and its applications.

Classical cryptography involves several different types of algorithms:

• Asymmetric (or public-key) cryptography, which is used to establish an encrypted channel between two parties for authentication or electronic-signature purposes (examples are: Diffie-Hellmann, RSA, and elliptic-curve cryptography). Asymmetric cryptography is usually based on integer factorization or discrete logarithm
• Symmetric (or secret-key) cryptography, which can be used for the effective encryption of data, especially when an encrypted channel has previously been established using asymmetric algorithms (examples are AES and DES). Symmetric cryptography is based on the principles of diffusion and confusion.
• Hash functions, which are used to verify the integrity of a file or electronic certificate (examples are MD5 and SHA-2). Hash functions rely on the avalanche effect, which causes each output bit to depend on each input bit.

How might quantum computers change the game?

Among the best-known and oldest quantum algorithms is Shor’s algorithm[xi] which can effectively factorize integers and solve discrete logarithm problems. Come the day we’re able to construct a quantum computer powerful enough to handle very large numbers using Shor’s algorithm, all public-key cryptography based on these problems will be rendered immediately obsolete.

Another well-known quantum algorithm is Grover’s algorithm[xii], which enables the inversion of functions. This algorithm can be applied to search effectively for items in an unordered list or unstructured database, something that can be likened to looking for a needle in a haystack. Grover’s algorithm thus makes it possible to accelerate a search for a symmetric encryption key but does not call into question the principles of secret-key cryptography.

Post-quantum cryptography

Post-quantum cryptography refers to cryptographic algorithms that do not rely on problems which can be solved more rapidly by a quantum computer. Such algorithms won’t be threatened by the advent of—still hypothetical—quantum computers. It should not be confused with quantum cryptography, which is a form of cryptography that makes use of quantum phenomena to achieve its ends. The challenges associated with post-quantum cryptography are twofold:

• To establish a new form of public-key cryptography that doesn’t rely on solving integer factorization or discrete logarithm problems;
• To strengthen secret-key cryptography—to make it resilient to the key-finding capabilities of quantum computers.

Public-key cryptography will have to be redesigned entirely using new cryptographic systems that are based on, for example, error-correcting codes or Euclidean networks[xiii]. While numerous theoretical solutions exist, much research is still needed to turn these into concrete options. There are several initiatives designed to stimulate research in the area. Examples are the PQCrypto conference series[xiv], which has been running for over ten years, and the evaluation process recently put in place by NIST, which aims to standardize one, or more, post-quantum cryptographic algorithms[xv].

Secret-key cryptography is expected to prove robust in a post-quantum world—provided that the length of keys used is sufficient. Doubling the key size provides an adequate measure of security against quantum computers[xvi]. For example, the AES encryption algorithm will be less secure, but could still be used with a 256-bit key. The security of protocols like Kerberos, which are based on these algorithms, doesn’t need to be fundamentally questioned.

And when it comes to hash functions, quantum algorithms don’t appear to find collisions more quickly than conventional algorithms[xvii]. Hash functions will therefore remain secure in a post-quantum world.

Quantum computing remains a distant threat

The advent of a quantum computer with sufficient capacity to pose a threat to classical cryptography is still a long way off. Between now and then, we can expect research into post-quantum cryptography to have advanced considerably, and that the changes needed in cryptographic constructions will have been widely anticipated.

[i] https://people.eecs.berkeley.edu/~christos/classics/Feynman.pdf

[ii] https://phys.org/news/2011-06-d-wave-commercial-quantum.html

[iii] https://www-03.ibm.com/press/us/en/pressrelease/49661.wss

[iv] https://research.googleblog.com/2018/03/a-preview-of-bristlecone-googles-new.html

[v] https://atos.net/fr/2017/communiques-de-presse/communiques-generaux_2017_07_04/atos-lance-aujourdhui-le-simulateur-quantique-le-plus-performant-au-monde

[vi] https://www.riskinsight-wavestone.com/2017/06/informatique-quantique-securite/

[vii] https://en.wikipedia.org/wiki/Quantum_superposition

[viii] https://en.wikipedia.org/wiki/Quantum_entanglement

[ix] https://newsroom.intel.com/news/intel-advances-quantum-neuromorphic-computing-research

[x] https://en.wikipedia.org/wiki/Quantum_computing#Quantum_decoherence

[xi] https://en.wikipedia.org/wiki/Shor%27s_algorithm

[xii] https://en.wikipedia.org/wiki/Grover%27s_algorithm

[xiii] https://www.springer.com/fr/book/9783540887010

[xiv] https://pqcrypto.org/

[xv] https://csrc.nist.gov/events/2018/first-pqc-standardization-conference

[xvi] http://cr.yp.to/codes/grovercode-20100303.pdf

[xvii] https://cr.yp.to/hash/collisioncost-20090517.pdf

Cet article Status of post-quantum cryptography est apparu en premier sur RiskInsight.

2018 a évidemment vu s’élargir le cadre réglementaire : on oubliera difficilement le 25 mai, date où le RGPD est entré en vigueur ! Les projets liés à des réglementations sur les opérateurs critiques (LPM, NIS) ou sectorielles (NYS DFS, HKMA, MAS…) ont également rythmé l’année.

Du point de vue de la menace, 2018 présente un bilan plus varié que 2017 et la prédominance de NotPetya. Nous avons en effet observé 3 tendances :

• Le maintien des ransomware en première place des interventions de notre CERT, y compris avec certaines résurgences de Wannacry ;
• La multiplication des incidents de plus faible intensité que les ransomware massifs de 2017 mais dommageables à l’échelle des entreprises ; en particulier en matière de fuite de données des clients ;
• Plus préoccupant, la multiplication d’attaques de plus en plus astucieuses, plus proches des processus métiers comme celles qui ont touché de nombreuses banques, ou plus intégrées dans les systèmes techniques comme la série des attaques MageCart touchant le cœur du fonctionnement des sites Internet.

Il est évident que ces attaques continueront en 2019, la cybercriminalité restant malheureusement une activité très rentable.

Si le numérique est de plus présent dans les métiers de tous les secteurs (Industry 4.0, Open Data, DSP2…), ce qui va véritablement marquer 2019, c’est l’accélération autour de trois axes :  l’agilité, le cloud et l’API-fication des services IT et des applications. Le temps de l’expérimentation est derrière nous ; place désormais à l’ère de la concrétisation de ces transformations.

Les 3 axes de la révolution du SI en 2019

Agilité : plus réactif, plus rapide, plus simple

Les grandes entreprises ont démarré, parfois à marche forcée, des migrations vers un fonctionnement agile à grande échelle. Face à cette transformation, le RSSI doit s’approprier ces méthodologies et travailler de façon rapprochée avec les équipes de développement pour qu’elles se saisissent des enjeux de la cybersécurité.  Dans un premier temps, ce rapprochement permettra l’intégration de la sécurité dans les projets agiles par le biais d’Evil User Stories, de formation des équipes à la sécurité, de mise en œuvre d’outils d’intégration continue et d’intégration de tests d’intrusion dans le cycle de développement. Ce mouvement est déjà bien entamé avec des premiers accompagnements réussis.

Au-delà de l’intégration de la cybersécurité dans les projets agiles, c’est la cybersécurité qui devra prendre le tournant de l’agilité en s’intégrant dans un nouveau modèle opérationnel. Non seulement les équipes cybersécurité s’inscriront dans cette organisation agile en rejoignant les Feature Teams pour donner de la visibilité au RSSI sur les risques identifiés dans ces projets, mais elles seront également capables de fournir des services de sécurité en mode agile. Des Product Owners portant des services de sécurité apparaîtront pour délivrer de la cybersécurité as a service au sein de l’organisation.

Cloud : sécurisé par défaut, multiple, automatisé

Le second axe est l’utilisation à grande échelle du Cloud. En 2019, l’addition des premières expérimentations déclenchera une réaction en chaîne vers le Cloud-first, voire pour nos clients les plus avancés le Cloud-Only. Au-delà des applications, le mouvement de migration des infrastructures est entamé, y compris pour des composants clé comme l’Active Directory.

Toutes ces avancées prometteuses impliqueront un changement de métier des DSI. Dans ce contexte, le RSSI devra s’adapter à ce nouveau modèle opérationnel afin de s’assurer du maintien de la sécurité des configurations dans le temps et d’ouvrir le dialogue avec ses nouveaux interlocuteurs. Il pourra encourager l’utilisation des nouvelles capacités d’auto-remédiation et de reconstruction des systèmes en cas d’incident de sécurité.

Cette situation nécessitera des adaptations pour fournir une vue globale en matière de surveillance du SI, d’administration et de gestion des droits. La sécurité devra être intégrée dès la conception des architectures dans les modèles de configuration et s’appuyer sur les briques des fournisseurs. Les droits pourront être attribués de façon extrêmement granulaire pour limiter les risques d’accès illégitime aux ressources. Ils devront être revus de manière automatisée pour s’adapter aux changements fréquents.

Le cloud, c’est aussi un virage à prendre pour les filières sécurité : le RSSI sera en première ligne pour adopter et tirer le meilleur parti des offres du marché : analyse de vulnérabilités, contrôle d’accès, MFA, Identity Governance, filtrage de contenu… nombre de ces services disposent déjà d’une offre crédible dans le cloud. Le multicloud basé sur 2 fournisseurs deviendra une priorité pour permettre la continuité des services.

API-fication : de multiples nouvelles portes d’entrée pour le SI

Le troisième axe est la multiplication des API. Poussée dans le secteur financier par la réglementation DSP2, l’API-fication touche tous les secteurs et permet de faire interagir des services en standardisant les moyens d’échanges de données.

Nous constatons chez nos clients les difficultés de la filière sécurité à maîtriser ce nouvel enjeu. Si l’API-fication pourra être un levier pour faciliter la sécurisation des échanges machine à machine par l’uniformisation, le chiffrement ou l’authentification, elle présente certains risques liés à leur multiplication et leur large surface d’exposition. En effet, même de grands acteurs comme Google ou Facebook parviennent difficilement à maîtriser ce sujet comme l’ont montré les incidents de 2018.

Si le RSSI veut reprendre en main le terrain de jeu de l’API-fication, il doit, dès maintenant, investir ce théâtre d’opération avec tous les moyens existants, y compris les plus innovants. Il ne pourra pas se contenter de simplement définir une gouvernance ou tenter, dans un premier temps, d’inventorier les API exposées ; il devra anticiper et être en mesure de surveiller et contrôler un grand nombre d’API.

Une révolution qui exige une révision des fondamentaux dans un contexte de pénurie des compétences

Révolution profonde du SI, réglementations toujours plus présentes et aux sanctions exponentielles ; comment les filières sécurité peuvent-elles sortir de l’étau qui les enserre ? Pour y parvenir, nous identifions 3 grands chantiers :

• Refondre la PSSI et la gouvernance. Elles devront être revues sur la base de la stratégie sécurité existante. Pour accélérer et cadrer la démarche, le RSSI pourra s’appuyer sur le cybersecurity framework du NIST, un référentiel cybersécurité américain en passe de devenir incontournable pour les grands groupes de tous secteurs ;
• Revoir en profondeur les processus d’intégration de la sécurité dans les projets. Après avoir été amendés en 2018 pour les besoins du RGPD, ils devront être repensés dans le but de gagner davantage en agilité et en flexibilité. Les autorités ont rejoint ce mouvement, l’ANSSI ayant modernisé la méthodologie d’analyse de risques EBIOS, nouvellement nommée EBIOS Risk Manager» par une approche combinant conformité et scénarios d’attaque ;
• Anticiper et s’adapter à une pénurie de talent récurrente. Pas de solution magique bien sûr, mais une multitude de pistes est à tester. D’un point de vue technique, l’automatisation, la migration vers le cloud, l’instauration d’un cadre fort instaurant les principes de security by design permettront des limiter les efforts. De même, la création d’offres de services sécurité, le near voire offshoring pour des services standardisés peuvent être des solutions.

Pour relever les défis de demain, le RSSI devra donner un nouveau souffle à la filière sécurité en créant un environnement stimulant, ambitieux et formateur permettant l’empowerment (ou « autonomisation ») des équipes. Cela suscitera des vocations et des envies de mobilités internes.

Au-delà de la refonte des fondamentaux, nos 5 priorités pour les filières SSI

• La cyber-résilience bâtie sur le cloud : l’évolution des solutions permet d’envisager d’utiliser le cloud comme solution de continuité face aux cyberattaques comme c’est déjà le cas pour la messagerie. Afin de tester l’efficacité de la réponse à ces attaques, les exercices de crise sur table seront complétés par des vrais entraînements sur des systèmes simulés ;
• Le SOC est mort, vivent les Fusion Centers regroupant des savoir-faire techniques et métiers, permettant d’appréhender de bout en bout d’éventuelles fraudes ou intrusions dans le système d’information et de réagir au mieux. Par des nouvelles générations d’outils d’automatisation et de machine learning, le SOC pourra détecter les attaques plus finement et plus rapidement ;
• Le début de la fin pour les mots de passe : des initiatives comme le 0-password, le déploiement de FIDO2, la biométrie dans le cadre du 2FA ou encore la généralisation des coffres-forts permettent de l’envisager ;
• L’IA et le machine learning représentent des opportunités à moyen terme qui méritent d’être testées, voire implémentées pour les filières cybersécurité les plus avancées. Cependant, la priorité de 2019 sera de s’assurer de la prise en compte des risques et vulnérabilités spécifiques (inférence, empoisonnement…) dans les projets métier incluant de l’IA ;
• Les tiers et les fournisseurs sous microscope : de nombreuses attaques sont aujourd’hui observées sur les fournisseurs, ce qui n’entache pas moins l’image de la société cliente qui reste responsable.Il y a un besoin, en 2019, de mieux cartographier les interactions avec les prestataires afin d’évaluer la sécurité de ceux-ci. C’est un travail complexe vu leur nombre, leur diversité et leurs imbrications. Des start-ups comme CyberVadis ou Risk Ledger abordent ce problème sous un angle neuf.

Faire de la sécurité un différenciateur vis-à-vis des clients de l’entreprise

Souvent ignorée, parfois rejetée, la sécurité était jusqu’à très récemment sommée d’être transparente pour être tolérée. La médiatisation quasi quotidienne des fuites de données et des fraudes a remis la cybersécurité au centre du jeu.

En 2019, la sécurité ne pourra pas se contenter d’être une ligne de défense essentielle dans toute entreprise et devra être vue comme génératrice de valeur pour le core-business.

Ce changement concerne quasiment tous les secteurs d’activité. Bien sûr, vient immédiatement à l’esprit le secteur bancaire : double authentification, cryptogramme dynamique, notification en cas de mouvements suspects… mais il n’est pourtant pas le seul :

• L’automobile, avec la sécurisation « visible » du véhicule connecté, avant de passer au véhicule autonome demain ;
• Les opérateurs télécom, dont certains promeuvent leur nouvelle box avec des services de cybersécurité comme la détection de vulnérabilités ;
• Les fournisseurs de services au grand public (transport, énergie, eau…) où la cybersécurité est requise dans les processus de vente et peut-être un différenciateur.

Sous l’impulsion du RSSI, la filière sécurité doit saisir ces opportunités pour se rapprocher des métiers et montrer son apport dans le cœur de l’activité de son organisation. Des acteurs de renom comme Apple ont adopté cette approche en mettant la sécurité et le respect de la vie privée au cœur de leur proposition de valeur.

Alors pourquoi pas vous ?

Cet article 2019 : Le RSSI au cœur de la révolution du SI est apparu en premier sur RiskInsight.

Un concours digne d’une compétition sportive

Au Paris Hotel de Las Vegas, Nevada, s’est déroulé en août 2016 cet étrange concours digne d’une compétition sportive. Pendant près de 12 heures, d’imposantes machines, appelées Cyber Reasoning Systems se sont affrontées dans l’arène devant un public de 3000 personnes, auquel les présentateurs expliquaient les tentatives d’attaques et les corrections de vulnérabilités grâce à des représentations en 3D très parlantes. Organisé par la DARPA, ce concours avait un double but : valider le concept de cyberdéfense automatisée et stimuler la recherche en offrant 4 millions de dollars de prix, dont 2 à l’équipe vainqueur.

Selon Mike Walker, responsable du programme du Cyber Grand Challenge, les failles de sécurité exploitées dans la nature le seraient pendant 312 jours en moyenne avant leur détection et le temps médian de correction après détection serait de 24 jours. Un délai très long pendant lequel les systèmes restent vulnérables et que la DARPA souhaiterait voir réduit à quelques minutes ou secondes, en confiant aux machines la tâche de détecter et de corriger elles-mêmes ces failles de sécurité.

Depuis l’annonce du concours en 2013, la DARPA qui prend le sujet très au sérieux, y a investi 55 millions de dollars. 7 équipes aux propositions intéressantes ont été invitées à participer au concours en recevant une aide financière mais l’entrée restait ouverte à toute équipe auto-financée souhaitant relever le défi. En juin 2015, les qualifications ont eu lieu sur Internet pendant 24 heures au cours desquelles les équipes devaient trouver le maximum de vulnérabilités affectant 131 programmes. Sur plus de 100 équipes les 7 meilleures se sont qualifiées pour l’événement final, touchant 750.000$ au passage afin de s’y préparer. Parmi elles, 3 équipes financées par la DARPA et 4 équipes auto-financées.

Au bout de 12 heures de compétition acharnée, c’est Mayhem, le CRS de l’équipe ForAllSecure qui a remporté la victoire malgré une difficulté technique qui l’a empêché de soumettre des correctifs pendant une partie de l’épreuve. Mayhem a eu le privilège de pouvoir concourir au concours « normal » de la conférence DEFCON où s’affrontaient les meilleures équipes de hackers du monde entier. Mayhem est arrivé bon dernier de ce concours, mais à quelques points seulement de la dernière équipe humaine. Ce résultat peut être comparé à la progression des machines contre les humains aux échecs en conditions de tournoi : entre les premières victoires des machines contre des maîtres au début des années 80 et le moment où les machines parvenaient à battre des grands maîtres de façon régulière au milieu des années 2000, 25 ans se sont écoulés.

Si les machines talonnent aujourd’hui les meilleures équipes de hackers, de quoi seront-elles capables dans 10 ou 20 ans ?

Vers un monde plus sûr ?

David Brumley, CEO de ForAllSecure spinoff de l’université Carnegie Mellon, souhaite que dans le monde ultra connecté qui est le nôtre, chacun puisse avoir la garantie que les objets et les applications que nous utilisons soient sûrs, sans s’en remettre uniquement à leurs développeurs. Mais si le développement d’une cyberdéfense automatisée est une aubaine pour la société civile, on peut bien imaginer quelles implications offensives ces recherches pourraient avoir. Découvrir rapidement et en grande quantité des bugs dans des programmes fournirait autant de munitions à un état décidé à attaquer des systèmes d’organisations ou d’autres nations n’étant pas alignées avec ses intérêts. Et l’on peut être sûr que la DARPA, dont la vocation première est militaire, en a parfaitement conscience.

Cet article Et si les machines assuraient leur propre cyberdéfense ? est apparu en premier sur RiskInsight.