- il y a 3 mois
BFM BUSINESS PARTENAIRE - Ce samedi 25 octobre, dans le cours n°353, Jean-François Bobier, partner au BCG, est revenu sur la menace des ordinateurs quantiques qui pourrait casser certains protocoles cryptographiques, dans l'émission BFM Stratégie présentée par Frédéric Simottel sur BFM Business. Cette émission a été réalisée en partenariat avec Boston Consulting Group.
Catégorie
📺
TVTranscription
00:00BFM Business Partner
00:01BFM Stratégie
00:06Avec Frédéric Simotel
00:09Sur BFM Business
00:11Bonjour, bienvenue dans cette nouvelle session BFM Stratégie
00:16On va parler du quantique, peut-il casser Internet ?
00:18Vous savez aujourd'hui, la grande question c'est de savoir si
00:22à terme, les pirates pourront utiliser du quantique pour déchiffrer des données
00:28alors d'époque, mais aussi pour revenir en arrière et déchiffrer des données
00:31qu'ils ont peut-être volées aujourd'hui
00:33donc on appelle ça le chiffrement post-quantique
00:36et puis il y a une actualité puisque Vincent Stroubel, le directeur général de l'ANSI
00:39l'agence nationale pour la sécurité des systèmes d'information
00:42il en a fait l'un des points forts de son discours d'ouverture des assises de la sécurité
00:47qui avaient lieu avec tous les professionnels de la cyber il y a quelques jours à Monaco
00:51et derrière on a ce rapport du BCG1 qui révèle que c'est une menace concrète
00:55à l'horizon 2025, des ordinateurs quantiques pourront casser les protocoles cryptographiques
01:01actuels qui protègent nos données bancaires, nos échanges confidentiels
01:04ou encore les infrastructures critiques
01:06donc voilà, on va parler de tout ça avec notre expert
01:07Jean-François Bobier, bonjour
01:09Bonjour Frédéric
01:10Merci d'être avec nous partenaire au BCG, spécialiste de l'informatique quantique
01:13Alors oui, c'est une menace sérieuse aujourd'hui
01:17d'ailleurs je disais Vincent Stroubel, il a même donné des dates
01:19il a dit 2027, il faudra qu'on ait des solutions
01:22que l'administration, enfin tout ce qui est secteur public et des solutions
01:25labellisées post-quantique et puis en 2030 sera obligatoire
01:29Alors en effet, qu'est-ce qui motive tout ça ?
01:33C'est le fait qu'on a des ordinateurs quantiques de plus en plus performants
01:36on a des roadmaps maintenant en indisibilité jusqu'à presque 10 ans
01:40qui ont été publiés par des grands fabricants comme IBM
01:42et quand on tient un tout petit peu la courbe
01:44on voit qu'à partir de 2035
01:47on va commencer à atteindre une zone où c'est probable
01:49qu'on puisse attaquer le chiffrement qu'on utilise
01:54pour la cryptographie sur internet
01:57qui s'appelle un chiffrement à clé publique
01:59donc en fait par exemple là on s'échange
02:00je vous donne une clé
02:01et après vous me répondez
02:03mais que en utilisant ma clé
02:04vous chiffrez l'échange avec ma clé
02:07c'est ce qu'on appelle un échange à clé publique
02:09j'ai donné ma clé à tout le monde pour l'entendre
02:12mais il n'y a que moi par contre
02:13qui peux décoder le message que vous m'aurez envoyé
02:15ça c'est le chiffrement à clé publique
02:18et les ordinateurs quantiques
02:19ils ont un algorithme
02:21qui s'appelle l'algorithme de Chor
02:22qui permet à partir de cette clé
02:25que je vous ai donnée
02:26retrouver ma clé privée
02:27et décoder les choses
02:28et tout ça par leur capacité de calcul
02:30évidemment beaucoup plus puissante
02:32et là on retrouve ça partout
02:33c'est entre les états, l'espionnage, la cybercriminalité
02:37absolument, la cryptographie à clé publique
02:40elle existe depuis 40 ans
02:42c'est un algorithme qui s'appelle RSA
02:44qui existe depuis 40 ans
02:45qui pose les fondations d'internet
02:47quand vous avez une petite clé sur votre browser
02:49qui vous indique que la transaction est sécurisée
02:51c'est ça que ça veut dire
02:54c'est que ça a été établi par une clé
02:56ça sert aussi à faire des certificats
02:58donc à valider les transactions
03:00ça sert à plein de cas d'usage
03:04et en fait c'est tellement utilisé
03:05qu'on ne sait même pas par où commencer
03:06d'ailleurs pour faire la migration
03:07alors justement
03:08pour faire cette migration
03:09pourquoi on s'y intéresse aussi aujourd'hui
03:11parce que quand on parle quantique
03:13on a l'impression que c'est
03:14on part dans les 2035, 2040, 2050
03:17bon là je rappelle ce discours de l'ANSI
03:19Vincent Strubel c'est 2027, 2030
03:21mais c'est ça
03:22les entreprises doivent s'y intéresser aujourd'hui
03:23Jean-François
03:25alors la menace elle est en 2035
03:27ça c'est à partir de là
03:29où on va commencer à pouvoir casser les clés
03:30en revanche
03:31compte tenu du fait
03:32que ça fait depuis 40 ans
03:33qu'on utilise de la cryptographie
03:35qui est stable
03:36qu'elle est partout
03:37dans à peu près 20%
03:38du parc applicatif d'une entreprise
03:40dans ses échanges
03:41avec ses fournisseurs
03:42dans ses échanges
03:42avec ses clients
03:43etc
03:43imaginez c'est un énorme
03:45mi-cadeau
03:46vous allez devoir commencer
03:47à enlever des pièces
03:47pour remplacer
03:48les pièces qui sont faibles
03:52par des pièces qui sont fortes
03:54ça va mettre du temps
03:55on sait par expérience
03:57que dans des cas
03:59de transition précédente
04:01il a fallu au moins 10 ans
04:0210 ans ça paraît long
04:03mais en fait
04:04c'est pour faire une migration
04:05de cette ampleur
04:06surtout que
04:06parfois on voit l'accélération
04:08de ces technologies
04:08on voit l'IA aujourd'hui
04:09donc on peut se dire
04:1010 ans ça pourrait être
04:11compressé un peu
04:12c'est
04:13enfin oui et non
04:15il y a vraiment deux temps
04:16il y a le temps
04:16de l'ordinateur quantique
04:17et pour nous
04:18c'est là
04:19oui
04:19c'est 2035
04:20mais après il y a le temps
04:22qu'il faudra
04:22aux professionnels
04:23de l'informatique
04:24de prendre les anciens protocoles
04:26de les trouver où ils sont
04:27de trouver où sont
04:28les anciens certificats
04:29de faire les changements
04:31qui sont nécessaires
04:32pour remplacer
04:32les anciens protocoles
04:34par les nouveaux
04:34parce que ça tombe bien
04:35on en a des nouveaux
04:36qu'on a trouvé
04:36et ça
04:38ça mettra 10 ans
04:40et c'est ça
04:42qui mettra du temps
04:42que les ordinateurs quantiques
04:43arrivent ou pas
04:44c'est
04:45et en gros
04:46en application critique
04:47c'est quoi
04:47d'un point de vue
04:48sur les portails
04:49bancaires
04:50c'est 10% à peu près
04:51qu'on a à chacun
04:52on pense qu'en moyenne
04:55dans une entreprise
04:56à peu près 20%
04:56des applications
04:57sont critiques
04:58en moyenne
04:59ça dépend des industries
05:00alors évidemment
05:01si vous êtes dans la banque
05:02ce sera plus
05:02si vous êtes dans la santé
05:03c'est plus
05:04puisque vous avez
05:04des données médicales
05:05etc
05:06et puis un deuxième phénomène
05:08on parlait tout à l'heure
05:09du temps de migration
05:10mais vous avez très bien mentionné
05:11un autre truc tout à l'heure aussi
05:12c'est qu'il y a des gens
05:13qui pourraient se dire
05:14ben là les échanges
05:15qu'on a en ce moment
05:15je vous ai donné une clé
05:16etc
05:17je peux pas décrypter aujourd'hui
05:19mais c'est pas grave
05:19je vais enregistrer notre conversation
05:20et puis je vais décrypter
05:21et puis plus tard
05:22j'ai trouvé la clé privée
05:24à partir de la clé publique
05:25voir si mes données
05:28j'espère les récupérer un jour
05:30voilà exactement
05:30donc je peux les décrypter
05:31nous on pense
05:32et on le mentionne dans le rapport
05:33on pense pas que ça a donné
05:34enfin on pense pas que
05:36les groupes criminels organisés
05:38vont faire ça
05:38parce que c'est quand même
05:39ça demande beaucoup
05:39de capité de stockage
05:40mais par contre
05:41les agences de renseignement
05:43oui ça ça peut les intéresser
05:44donc du coup
05:45certains acteurs
05:46doivent s'y inquiéter
05:47maintenant c'est pour ça
05:47que dans le service public
05:49par exemple
05:49il faut commencer très tôt
05:50et alors autre question
05:51que l'on peut avoir
05:52au delà de l'aspect technologique
05:54il y a cet aspect coût
05:55est-ce qu'on se dit
05:57j'ai une PME
05:58une ETI
05:58est-ce qu'il faut
05:59forcément une grande entreprise
06:00parce que
06:00est-ce que c'est cher
06:01cette migration
06:02alors ça c'est
06:03c'est vraiment
06:04un des points
06:05qui étaient importants
06:06qu'on traite dans notre dossier
06:07parce que
06:08un des feedbacks
06:09qu'on avait
06:09de nos déchants
06:11avec qui on avait
06:11ces échanges
06:12c'est de nous dire
06:12ok c'est bien
06:13mais je veux avoir
06:14ma direction générale
06:15je leur dis que c'est urgent
06:15je leur dis qu'il faut le faire
06:17mais je n'arrive pas
06:17à avoir de l'argent
06:18et en fait
06:19on a fait un effort
06:20dans notre papier
06:22on a regardé
06:22par exemple
06:23combien a coûté
06:24la migration
06:24au bug de l'an 2000
06:26qui est assez proche
06:26conceptuellement
06:27vous savez quand les ordinateurs
06:29pensaient qu'en l'an 2000
06:30ils allaient passer en 1900
06:31on a regardé aussi
06:33des migrations
06:34de cryptos antérieures
06:35on est arrivé à un chiffre
06:37qui dit
06:38qu'il faudrait dépenser
06:39entre 2,5 et 5%
06:41d'un an de budget informatique
06:43ce qui représente
06:46des sommes assez importantes
06:46par exemple
06:47pour mes clients
06:48qui dépensent à peu près
06:48mettons un milliard
06:50d'euros d'informatique
06:52il faudrait mettre
06:5325 millions
06:53sur la table
06:54sur 10 ans
06:55pour faire cette transition
06:57mais c'est moins cher
06:59si on le fait aujourd'hui
06:59que si on attend
07:00exactement
07:00si on s'y prend tôt
07:02on a le temps
07:03d'orienter
07:04les nouvelles applications
07:05les changements
07:06vers les nouvelles solutions
07:08et puis de
07:09de faire sortir
07:10les anciennes applications
07:11si on attend
07:13la veille
07:14ça va coûter plus
07:15et puis avec tous les risques
07:15d'attaques
07:16et on l'a vu
07:17on a parlé dans une émission
07:18cette semaine
07:18sur les attaques
07:19sur Jaguar Land Rover
07:20sur la bière Azaï
07:21enfin sur l'industriel japonais
07:23Azaï
07:24dans les brevages
07:25et ça leur coûte
07:26des dizaines de millions de dollars
07:28par jour
07:28de non-production
07:29de sites qui ne produisent pas
07:30techniquement on est prêt
07:32est-ce que d'ores et déjà
07:34aujourd'hui
07:34j'entends cette chronique
07:35je me dis
07:35il faut que je sois post-quantique
07:37est-ce que je sors
07:38et je vais voir mes fournisseurs
07:40et je peux avoir
07:41des choses labellisées
07:42alors la bonne nouvelle
07:44c'est que c'est un problème
07:45qui a été anticipé
07:46de très longues dates
07:47l'organisme américain
07:50qui s'appelle NIST
07:50qui est National Institute
07:52for Standards and Technology
07:54a sélectionné
07:55quatre algorithmes
07:56qui sont considérés
07:57comme résistants
07:58et robustes
07:59ils sont proposés
08:01utilisables
08:01le NIST a aussi donné
08:03des dates
08:03qui s'appliqueront
08:05à tout le monde
08:05c'est-à-dire
08:05pour avoir le droit
08:06d'avoir la fameuse clé
08:07sur notre internet
08:08donc 2030
08:09c'est le moment
08:10où les algorithmes
08:11actuels
08:12sont considérés
08:13comme obsolètes
08:14mais on peut encore
08:14s'en servir
08:15et 2035
08:16c'est interdit
08:17il faut être uniquement
08:18sur les nouveaux algorithmes
08:19et ils sont disponibles
08:22il y a des implémentations
08:23et il y a des entreprises
08:24d'ailleurs français
08:24on peut parler
08:25de Cryptonex
08:26et autres
08:26qui proposent
08:27des implémentations
08:28de ces algorithmes
08:29donc c'est possible
08:30les algorithmes sont disponibles
08:31la grosse difficulté
08:33ça va être dans
08:34l'inventaire
08:35de ce qu'on a aujourd'hui
08:35et de savoir
08:39qu'est-ce qu'il faut changer
08:39le petit Mikado
08:40mais
08:41voilà c'est ça
08:43et aujourd'hui
08:44je crois que
08:44on est encore faible
08:45dans l'usage
08:46aujourd'hui
08:47il y a peu de
08:48enfin il y a quelques mesures
08:49qui permettent de le savoir
08:50par exemple
08:51il y a
08:52on sait qu'il y a seulement
08:549% des sites internet
08:55de taille raisonnable
08:57qui implémentent
08:58aujourd'hui
08:59ces standards
08:59sachant qu'aujourd'hui
09:01les navigateurs
09:01les appliquent déjà
09:02par exemple
09:03si vous utilisez Chrome
09:03vous avez déjà
09:04en tout cas de votre côté
09:07vous avez déjà
09:07la possibilité
09:08pour supporter
09:09les cryptos
09:09il faut que votre site
09:10bancaire le fasse aussi
09:11et j'ai vu
09:12dans l'étude
09:13on parle aussi
09:13il faut être crypto agile
09:15alors crypto agilité
09:17c'est quoi
09:17c'est cette idée
09:18de dire
09:18ça fait 40 ans
09:19qu'on a de la chance
09:2040 ans que RSA
09:21donc c'est la loi
09:23qu'on utilise aujourd'hui
09:24personne n'a trouvé
09:24de faille
09:25ça marche
09:26on aurait pu
09:27ne pas avoir de chance
09:28si on pourrait imaginer
09:29qu'un mathématicien fou
09:30trouve une faille
09:31et que demain
09:32on ait un problème
09:33la crypto agilité
09:35c'est l'idée
09:35de se dire
09:36ces algorithmes
09:36post quantique
09:37on ne sait pas
09:38s'ils sont stables
09:39on ne sait pas
09:40si quelqu'un
09:40ne va pas trouver
09:41une faille
09:41c'est des maths
09:42ils ont trouvé
09:43des problèmes
09:43de latisme
09:44c'est des problèmes
09:44de géométrie
09:45on ne sait pas
09:46et donc il faut se préparer
09:48à ce qu'il y ait
09:48potentiellement
09:48une deuxième migration
09:49donc on dit
09:50à nos clients
09:51si vous quitte à faire
09:52la migration une fois
09:53gardez votre inventaire
09:54soyez prêt
09:56à
09:57remettez le à jour
09:58et puis
09:58si jamais demain
10:01ce n'est pas stable
10:01et qu'on trouve
10:02d'autres attaques
10:02du coup ça vous coûtera
10:03moins cher
10:04vous pourrez le faire
10:04plus vite
10:05un dirigeant d'entreprise
10:06qui écoute cette session
10:07BFM stratégie
10:08avec vous
10:08Jean-François Bobier
10:09et qui veut se préparer
10:10pour 2035
10:11c'est quoi
10:11cette cartographie
10:13qu'il faut faire
10:14c'est prioriser
10:15les systèmes critiques
10:16c'est quoi
10:16les 3-4 conseils
10:18que vous lui donnez
10:18alors un
10:19il faut dégager
10:20un budget pluriannuel
10:21il faut pouvoir
10:23dépenser de l'argent
10:26parce que ça va coûter
10:27de l'argent
10:27deux
10:28effectivement
10:28il faut faire un inventaire
10:30de ce qu'on a
10:31à la fois
10:32en termes d'application
10:34et de système
10:34mais aussi en termes
10:35de certificat
10:35puisque c'est
10:36avec les certificats
10:37qu'on va signer
10:38des choses
10:39et il faut aussi
10:40regarder les interactions
10:41notamment avec nos fournisseurs
10:42et nos clients
10:43donc ça c'est vraiment
10:44la première étape
10:45puis une fois que ça
10:46c'est fait
10:47il faut définir
10:49un plan
10:49de migration
10:51et après
10:52il faut l'exécuter
10:53d'accord
10:53et on a les compétences
10:55qu'il faut aussi
10:55dans ce domaine
10:56parce que là
10:56au moins former
10:59les équipes
10:59aussi autour de ça
11:00c'est important
11:01oui alors
11:02les compétences existent
11:03parce que
11:03c'est pas
11:04enfin
11:05c'est de l'informatique
11:07standard
11:07il n'y a pas
11:08enfin
11:08c'est quantique
11:09dans la mesure
11:09où la menace
11:10vient d'un ordinateur quantique
11:11par contre
11:12les algorithmes
11:12qui sont proposés
11:13sont des logiciels
11:14des binaires
11:15que tout le monde
11:17a l'habitude d'utiliser
11:18c'est pas ça
11:19qui est difficile
11:20par contre
11:21c'est là où c'est
11:21peut-être un petit peu difficile
11:23c'est qu'on n'a pas
11:24l'habitude
11:24c'est vraiment
11:24la première fois
11:25qu'un pilier aussi
11:27fondamental
11:28est mis en cause
11:29et on n'a pas
11:31enfin ça
11:32on ne l'a jamais
11:34jamais
11:34vraiment remis en cause
11:35en tout cas
11:36une chose est sûre
11:37c'est agir dès maintenant
11:38pour réduire les
11:39pour réduire les coûts futurs
11:40que ce soit les coûts
11:41d'installation
11:42mais aussi les coûts
11:43de risque de piratage
11:44qui là peut
11:44ça peut coûter très cher
11:46là on chiffre en centaines
11:47de millions de dollars
11:48donc plus une mise à jour tardive
11:50plus ce sera complexe
11:51mais plus une mise à jour tardive
11:52plus les risques sont importants
11:54merci Jean-François Bobi
11:55d'être venu parler de tout ça
11:56je rappelle
11:56vous êtes partenaire au BCG
11:57spécialiste de l'informatique quantique
12:00et donc
12:00oui
12:01il faut s'intéresser
12:02à ce chiffrement post-quantique
12:03ça y est
12:04les produits existent
12:05il y a des labels
12:05qui existent
12:07donc intéressez-vous
12:08merci beaucoup
12:09Jean-François
12:10très bien
12:10c'est Frédéric
12:10une nouvelle session
12:11BFM Stratégie
12:12BFM Stratégie
12:18sur BFM Business
12:20BFM Business
12:23BFM Business
Commentaires