Que demander aux fournisseurs sur leur préparation post-quantique ?

Posez des questions dont les réponses sont vérifiables. Quels algorithmes post-quantiques ou hybrides le produit prend-il en charge aujourd'hui, nommément, comme X25519MLKEM768 pour TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. ou ML-DSA pour les signatures, et depuis quelle version ? S'il n'y en a pas encore, dans quelle version et pour quand ? Les algorithmes peuvent-ils être changés par configuration ou mise à jour, sans remplacer le matériel ? Quelle bibliothèque cryptographique le produit utilise-t-il, et qui la maintient ? Le matériel, comme un pare-feu, un module matériel de sécurité ou un automate, a-t-il la capacité de gérer des clés plus grandes, ou faudra-t-il le remplacer ? Comment le fournisseur signera-t-il ses propres mises à jour quand les algorithmes de signature changeront ? Le produit continuera-t-il de fonctionner pendant la transition avec des clients qui ne gèrent que les algorithmes classiques ? Demandez les réponses par écrit, avec des dates. Méfiez-vous des réponses qui promettent une immunité contre les attaques quantiques ou qui ne parlent que de chiffrement symétrique : elles éludent la vraie question. Un fournisseur incapable de répondre est une dépendance à intégrer à votre plan, et sa réponse a sa place dans votre inventaire.

← Les 33 questions sur Cryptographie post-quantiqueTous les thèmes