Le Canada lance un plan PQC pour protéger ses systèmes publics des menaces quantiques

Le gouvernement du Canada a officiellement engagé un programme de dix ans pour préparer son infrastructure numérique à l’une des principales menaces émergentes de cybersécurité : l’informatique quantique. Un nouvel avis de mise en œuvre de politique de sécurité (SPIN), en vigueur dès sa publication, demande à tous les ministères et organismes fédéraux d’entamer la migration complexe vers un chiffrement résistant au quantique.

Cette initiative vise à protéger les données et communications sensibles du pays contre une génération future d’ordinateurs qui pourrait rendre obsolètes les défenses cryptographiques actuelles.

La menace quantique imminente

L’urgence vient de la possibilité d’un ordinateur quantique pertinent pour la cryptographie (CRQC). Encore largement théorique, un tel ordinateur pourrait disposer d’une puissance suffisante pour casser la cryptographie à clé publique qui protège aujourd’hui les services bancaires en ligne, la messagerie sécurisée et les bases de données gouvernementales.

L’avis souligne la tactique insidieuse dite « Harvest Now, Decrypt Later » (HNDL). Des acteurs malveillants peuvent voler aujourd’hui des données chiffrées et les conserver jusqu’à ce qu’un ordinateur quantique puisse les déchiffrer, exposant alors d’importantes informations sensibles à long terme.

Le SPIN indique : « Le gouvernement du Canada, comme les gouvernements et organisations privées du monde entier, fait face à la menace d’un futur ordinateur quantique », reconnaissant la dimension mondiale du défi.

La solution : cryptographie post-quantique (PQC)

La réponse réside dans la cryptographie post-quantique (PQC), une nouvelle famille d’algorithmes conçus pour résister aux attaques des ordinateurs classiques et quantiques. Le National Institute of Standards and Technology (NIST) et le Centre canadien pour la cybersécurité (Cyber Centre) participent aux efforts mondiaux de normalisation de ces algorithmes.

L’avis qualifie la migration de l’écosystème numérique gouvernemental vers la PQC de « changement technologique important » nécessitant « une planification et une exécution soigneuses sur plusieurs années ». Il avertit que des retards pourraient empêcher de respecter les échéances essentielles et augmenter le risque d’exposition des données sensibles confiées au gouvernement du Canada.

Un plan de migration obligatoire par étapes

Le SPIN présente un plan rigoureux en trois phases, avec des échéances jusqu’en 2035, afin d’assurer une transition coordonnée et responsable dans l’ensemble du gouvernement fédéral.

Phase 1 : Préparation (échéance : 1er avril 2026)
Les ministères et Services partagés Canada (SSC) disposent de six mois pour élaborer des plans généraux de migration, définir les rôles et responsabilités et planifier les ressources financières. À partir de cette phase, des rapports annuels sur l’avancement deviennent obligatoires.

Phase 2 : Identification (échéance : 1er avril 2028)
Cette phase de découverte, souvent considérée comme la plus difficile, exige un inventaire complet de tous les systèmes informatiques utilisant la cryptographie. D’ici cette échéance, les registres gouvernementaux devront contenir des renseignements détaillés sur :

• L’architecture des systèmes et les algorithmes cryptographiques utilisés.
• Les fournisseurs et le cycle de vie des systèmes.
• La priorité de migration, notamment pour les systèmes vulnérables aux attaques HNDL.

Des outils spécialisés peuvent fournir un avantage important. Les outils communautaires gratuits de Securetron, notamment PKI Trust Manager (Full CLM), PKI Trust Auditor et PQC TLS Certificate Scanner, peuvent automatiser la découverte. Ils peuvent analyser rapidement réseaux et systèmes, créer l’inventaire cryptographique requis, repérer les algorithmes historiques et signaler les systèmes prioritaires, en appui des exigences des sections 6.2.3 et 6.2.4.

Phase 3 : Transition (échéances : 2026–2035)
La mise en œuvre de la PQC a lieu pendant cette phase. Une règle d’approvisionnement importante entre immédiatement en vigueur :

• Au 1er avril 2026 : les nouveaux contrats de systèmes numériques doivent exiger des solutions compatibles PQC et prêtes pour l’agilité cryptographique.
• Au 1er avril 2028 : les ministères et SSC doivent commencer activement la transition de leurs systèmes.
• D’ici la fin de 2031 : tous les systèmes hautement prioritaires doivent avoir migré.
• D’ici la fin de 2035 : la migration de tous les autres systèmes doit être achevée.

Pendant la transition, une plateforme comme Securetron PKI Trust Manager devient précieuse. Elle est conçue pour gérer le cycle de vie des certificats PQC et permettre aux organisations d’émettre, de déployer et de gérer de nouvelles identités cryptographiques résistantes au quantique. Cela soutient le mandat d’« agilité cryptographique » (section 6.3.1) et aide les ministères à « amorcer la transition de leurs systèmes vers une cryptographie résistante au quantique » (sections 6.3.3 et 6.3.5).

Portée, responsabilité partagée et conséquences

La directive s’applique à tous les systèmes d’information du gouvernement du Canada qui utilisent la cryptographie, des services réseau et applications aux appareils physiques. Elle couvre les systèmes traitant des données jusqu’à la classification Protected B.

L’avis souligne un « modèle de responsabilité partagée » et le rôle essentiel de Services partagés Canada (SSC). En tant que gestionnaire de l’infrastructure informatique centrale, SSC doit élaborer un plan de migration parallèle et collaborer avec chaque ministère pour gérer les interdépendances.

Le Secrétariat du Conseil du Trésor du Canada (SCT) surveillera activement la conformité. L’avis précise que des hauts fonctionnaires — notamment les dirigeants principaux de l’information et de la sécurité — seront sollicités si leur ministère ne respecte pas les échéances. Des conséquences peuvent s’appliquer selon le Cadre de gestion de la conformité du gouvernement.

Un chef de file mondial de la préparation quantique

Avec ce SPIN, le Canada se positionne comme un chef de file proactif de la transition mondiale vers un avenir résistant au quantique. Une feuille de route claire, progressive et obligatoire vise à préserver pendant des décennies la confidentialité, l’intégrité et la disponibilité des services gouvernementaux et des données sensibles des Canadiens. Des outils avancés comme la suite Securetron de découverte et de gestion peuvent accélérer cette initiative essentielle de sécurité nationale et rendre la migration plus maîtrisable.