Comment Google se prépare à protéger nos données face aux ordinateurs quantiques

Je ne vous apprendrais rien en disant que Google prend très au sérieux la sécurité de nos données. Autant pour un compte gratuit que payant. Mais le flag qu’elle vient de mettre en ligne pour la version 139.0.7258.0 (mode Canary) pour ChromeOS, montre qu’elle prépare l’arrivée des ordinateurs quantiques. Je vous rassure tout de suite, il ne s’agit pas des Chromebook qui vont devenir des bêtes de calculs. Non, il s’agit simplement de mieux protéger nos données si d’aventure un ordinateur quantique venait à tenter de casser les clés de chiffrement qui protège notre Chromebook. Particulièrement, lors de nos interactions quotidiennes en ligne. Vous avez un Aspro et une bonne dose de thé frais sous la main ? C’est parti pour comprendre comment Google se prépare à protéger nos données face aux ordinateurs quantiques.

C’est quoi les algorithmes cryptographiques post-quantiques

Ces algorithmes, connus sous le nom de cryptographie post-quantique, désignent une nouvelle génération de méthodes de chiffrement conçues pour garantir la sécurité de nos données et communications face à la menace des futurs ordinateurs quantiques. Contrairement aux ordinateurs classiques qui manipulent des bits (0 ou 1), les ordinateurs quantiques exploitent les propriétés de la mécanique quantique pour effectuer des calculs de manière fondamentalement différente et, pour certains problèmes, beaucoup plus rapidement. Or, la sécurité de la plupart de nos systèmes de chiffrement actuels, comme ceux basés sur RSA ou la cryptographie à courbe elliptique¹, repose sur la difficulté pour les ordinateurs classiques de résoudre certains problèmes mathématiques complexes (comme la factorisation de grands nombres ou le problème du logarithme discret). Les ordinateurs quantiques, grâce à des algorithmes spécifiques comme l’algorithme de Shor², seraient capables de résoudre ces problèmes en un temps record, rendant nos protections obsolètes.

Une certaine protection

Les algorithmes post-quantiques sont donc développés pour résister à ces attaques quantiques tout en étant exécutables sur les ordinateurs classiques que nous utilisons aujourd’hui. Ils s’appuient sur des problèmes mathématiques différents, considérés comme difficiles à résoudre, même pour un ordinateur quantique. Le développement et la standardisation de ces algorithmes sont une priorité mondiale pour anticiper cette « menace quantique » et assurer la pérennité de notre infrastructure numérique, qu’il s’agisse de transactions bancaires, de communications gouvernementales ou de la protection de nos données personnelles.

En résumé, les algorithmes cryptographiques post-quantiques sont là pour nous protéger. Et que Google puisse proposer ce type de protection, montre à quel point les ordinateurs quantiques seront demain une menace importante vis-à -vis de  nos données. 

De l’importance des communications

Pour comprendre l’importance de ce flag, il faut d’abord saisir le rôle de WebRTC (Web Real-Time Communication). Cette technologie est le moteur silencieux de nombreuses interactions quotidiennes en ligne. C’est grâce à WebRTC que vous pouvez passer des appels vidéo via Google Meet, participer à des conférences en ligne, ou même partager votre écran en direct sans avoir besoin de plugins supplémentaires. WebRTC permet la communication directe et sécurisée de données audio et vidéo entre navigateurs.

Au cœur de la sécurité de WebRTC se trouve le protocole DTLS (Datagram Transport Layer Security). Il s’agit de la version « datagramme » du célèbre TLS (Transport Layer Security), le protocole qui sécurise la plupart de vos navigations web (reconnaissable par le « HTTPS » dans l’adresse de votre site). DTLS assure la confidentialité et l’intégrité des données échangées via WebRTC, empêchant les écoutes indiscrètes et la manipulation des informations.

Capacité de briser des protections

Nos méthodes de chiffrement actuelles, comme RSA ou ECC (Elliptic Curve Cryptography), sont extrêmement robustes face aux ordinateurs classiques. Cependant, l’émergence des ordinateurs quantiques change la donne. Ces machines, encore à leurs balbutiements, ont le potentiel de briser les algorithmes de chiffrement actuels en un temps record, rendant nos communications vulnérables.

C’est là qu’intervient la cryptographie post-quantique (PQC). La PQC vise à développer de nouveaux algorithmes de chiffrement qui, même s’ils sont exécutés sur des ordinateurs classiques, seraient résistants aux attaques des futurs ordinateurs quantiques. Il s’agit d’une course contre la montre pour anticiper et contrer cette menace avant qu’elle ne devienne une réalité.

Il fait quoi ce flag ?

Le flag #webrtc-pqc-for-dtls sur ChromeOS permet d’activer l’utilisation de ces algorithmes cryptographiques post-quantiques pour les connexions DTLS au sein de WebRTC. En d’autres termes, il offre la possibilité de tester et de mettre en œuvre des méthodes de chiffrement plus robustes, conçues pour résister aux menaces quantiques.

Activer ce flag ne signifie pas que toutes vos communications WebRTC deviendront instantanément « quantiquement sécurisées ». Il s’agit d’une fonctionnalité expérimentale, souvent utilisée par les développeurs et les chercheurs en sécurité pour évaluer la performance, la compatibilité et la robustesse des algorithmes PQC dans un environnement réel. Son objectif est de préparer le terrain pour une transition en douceur vers des protocoles de sécurité plus résilients.

Pour l’utilisateur lambda, l’activation de ce flag n’aura probablement pas d’impact immédiat perceptible. Les communications continueront de fonctionner comme d’habitude. Cependant, pour les organisations soucieuses de la sécurité à long terme et pour la communauté de la cryptographie, ce flag est un indicateur fort de l’engagement de Google à rester à la pointe de la sécurité numérique. Il souligne l’importance de la recherche et du développement dans la protection de nos données contre les menaces émergentes, y compris celles issues de l’informatique quantique.

En somme, le flag #webrtc-pqc-for-dtls est un petit aperçu d’un avenir où nos communications seront armées contre les défis de la prochaine génération de technologies de calcul. C’est un pas essentiel vers la résilience et la confidentialité de nos interactions numériques dans le paysage technologique en constante évolution.

Comment activer ce flag ?

Pour rendre opérationnel ce flag, opérer de la manière suivante : 

• lancer le navigateur web Google Chrome et inscrire dans l’omnibox chrome://flags suivi d’un appui sur la touche Entrée du clavier,
• dans la nouvelle fenêtre, rechercher via le moteur de recherche le flag #webrtc-pqc-for-dtls,
• sélectionner Enable en face de sa description,
• cliquez sur Redémarrer pour relancer votre ordinateur. 

A partir de maintenant, le flag est opérationnel mais comme je l’indique plus haut, pour l’utilisateur lambda, il n’y aura pas de différence dans l’emploi du Chromebook. 

Des questions et des réponses

1. Question : Quel est l’objectif principal des algorithmes cryptographiques post-quantiques ?
   
   Réponse : Protéger nos données et communications contre les attaques des futurs ordinateurs quantiques.
2. Question : Quelle technologie WebRTC utilise-t-elle pour assurer la sécurité des données audio et vidéo ?
   
   Réponse : Le protocole DTLS (Datagram Transport Layer Security).
3. Question : Que permet d’activer le flag #webrtc-pqc-for-dtls sur ChromeOS ?
   
   Réponse : L’utilisation d’algorithmes cryptographiques post-quantiques pour les connexions DTLS au sein de WebRTC.
4. Question : Quel impact immédiat l’activation de ce flag a-t-elle pour l’utilisateur lambda ?
   
   Réponse : Probablement aucun impact perceptible, les communications continueront de fonctionner normalement.

Notes de bas de page

1. La cryptographie à courbe elliptique (ECC pour Elliptic Curve Cryptography) est une technique de cryptographie à clé publique qui repose sur les propriétés mathématiques des courbes elliptiques définies sur des corps finis. C’est une alternative moderne et très efficace au chiffrement RSA.
   Qu’est-ce qu’une courbe elliptique en cryptographie ?
   Dans ce contexte, une courbe elliptique n’est pas une ellipse au sens géométrique que l’on connaît, mais plutôt l’ensemble des points (x,y) qui satisfont une équation spécifique de la forme :
   y2=x3+ax+b
   où a et b sont des constantes, et où la courbe est définie sur un corps fini. Un corps fini signifie que les opérations mathématiques (addition, multiplication) sur les points de la courbe se font modulo un grand nombre premier. Cela limite les points de la courbe à un ensemble fini de coordonnées entières.
   Sur ces courbes, on définit une loi d’addition des points. Cette addition n’est pas l’addition classique des coordonnées, mais une opération géométrique complexe qui permet d’additionner deux points pour en obtenir un troisième sur la courbe. La « multiplication » d’un point par un entier k est simplement l’addition répétée de ce point k fois (par exemple, 3P=P+P+P).
   Comment fonctionne la cryptographie à courbe elliptique ?
   La sécurité de l’ECC repose sur la difficulté du problème du logarithme discret sur courbe elliptique (ECDLP – Elliptic Curve Discrete Logarithm Problem). Ce problème est le suivant : étant donné une courbe elliptique, un point P sur cette courbe, et un autre point Q qui est le résultat de la multiplication de P par un nombre secret k (c’est-à-dire Q=kP), il est extrêmement difficile de retrouver k connaissant P et Q. C’est une fonction à sens unique : facile à calculer dans un sens, mais pratiquement impossible à inverser sans la « trappe » (le secret k).
   Voici une simplification du principe pour la génération de clés et l’échange de clés (comme dans le protocole Diffie-Hellman sur courbes elliptiques – ECDH) :
   Paramètres publics : Alice et Bob (ou n’importe quels interlocuteurs) s’accordent sur un ensemble de paramètres publics : une courbe elliptique spécifique (définie par a, b, et le corps fini sur lequel elle est définie) et un point de base P sur cette courbe.
   Clés privées : Alice choisit un nombre entier secret kA​ (sa clé privée). Bob fait de même avec un nombre secret kB​ (sa clé privée).
   Clés publiques : Alice calcule son point public QA​=kA​P et l’envoie à Bob.
   Bob calcule son point public QB​=kB​P et l’envoie à Alice.
   Clé secrète partagée : Alice reçoit QB​ de Bob et calcule S=kA​QB​=kA​(kB​P)=(kA​kB​)P.
   Bob reçoit QA​ d’Alice et calcule S=kB​QA​=kB​(kA​P)=(kB​kA​)P.
   Puisque kA​kB​=kB​kA​, Alice et Bob arrivent tous deux au même point S sur la courbe, qui devient leur clé secrète partagée. Un attaquant qui intercepte QA​ et QB​ ne peut pas facilement retrouver kA​ ou kB​ (à cause du problème ECDLP) et donc ne peut pas calculer S.
   Avantages de la cryptographie à courbe elliptique :
   Taille de clé plus courte pour une sécurité équivalente : C’est son principal avantage. Pour le même niveau de sécurité, une clé ECC de 256 bits offre une sécurité comparable à une clé RSA de 3072 bits. Cela signifie : Calculs plus rapides : Les opérations de chiffrement et de déchiffrement sont beaucoup plus rapides.
   Moins de bande passante : Les clés et les signatures sont plus petites, ce qui réduit la quantité de données à transmettre.
   Moins de consommation de ressources : Idéal pour les appareils à ressources limitées comme les smartphones, les cartes à puce, l’IoT.
   Efficacité : Elle est plus performante que RSA pour la plupart des applications.
   Versatilité : Elle est utilisée pour l’échange de clés (ECDH), la signature numérique (ECDSA), et le chiffrement (bien que moins couramment pour le chiffrement direct de données massives).
   Applications de l’ECC :
   L’ECC est largement adoptée dans de nombreux domaines :
   Sécurité web (TLS/SSL) : Pour sécuriser les connexions HTTPS.
   Signatures numériques : Dans les certificats numériques, les blockchains (comme Bitcoin et Ethereum), et l’authentification.
   Messagerie sécurisée : Applications comme WhatsApp, Signal utilisent souvent l’ECC pour le chiffrement de bout en bout.
   Passeports électroniques et cartes d’identité.
   Sécurité des appareils mobiles et de l’IoT.
   VPN (réseaux privés virtuels).
   En résumé, la cryptographie à courbe elliptique est une technologie de sécurité fondamentale qui offre un excellent compromis entre la sécurité, la performance et l’efficacité, ce qui en fait un pilier des communications numériques modernes. ↩︎
2. L’algorithme de Shor est un algorithme quantique majeur, développé par Peter Shor en 1994. Son objectif principal est de factoriser de grands nombres entiers de manière beaucoup plus efficace que n’importe quel algorithme classique connu.
   Pourquoi est-il si important ?
   Sa célébrité vient de ses implications profondes pour la cryptographie, notamment pour des systèmes de sécurité largement utilisés comme le RSA. La sécurité du RSA repose sur le fait qu’il est extrêmement difficile pour les ordinateurs classiques de factoriser de très grands nombres. L’algorithme de Shor, en utilisant les principes de la mécanique quantique, pourrait potentiellement briser cette sécurité.
   Comment fonctionne-t-il (en simplifiant) ?
   L’algorithme de Shor est divisé en deux parties principales :
   Une partie classique (qui peut être exécutée sur un ordinateur classique) : Cette partie réduit le problème de la factorisation d’un nombre N en un problème de recherche de période d’une fonction mathématique particulière.
   Une partie quantique (qui nécessite un ordinateur quantique) : C’est ici que la puissance de l’informatique quantique entre en jeu. Cette partie utilise la transformée de Fourier quantique (QFT) et les propriétés de superposition et d’intrication des qubits pour trouver la période de la fonction de manière exponentiellement plus rapide que les algorithmes classiques.
   Une fois que la période est trouvée, la partie classique reprend le contrôle pour extraire les facteurs premiers du nombre N.
   En résumé :
   Ce qu’il fait : Factorise des grands nombres entiers.
   Pourquoi c’est révolutionnaire : Il le fait beaucoup plus rapidement que les ordinateurs classiques, ce qui menace la sécurité des systèmes de cryptographie actuels.
   Comment il le fait : Il combine des étapes classiques de réduction du problème avec une puissante routine quantique basée sur la transformée de Fourier quantique pour trouver une période.
   Il est important de noter que si l’algorithme de Shor est une avancée théorique majeure, la construction d’ordinateurs quantiques suffisamment puissants et stables pour factoriser des nombres de taille significative reste un défi technologique majeur. Néanmoins, son existence a déjà conduit à des recherches actives sur la cryptographie post-quantique, qui vise à développer des systèmes de sécurité résistants aux attaques des futurs ordinateurs quantiques. ↩︎