Un nouveau rapport de l’auditeur général du Canada lance un avertissement qui dépasse les lacunes habituelles en cybersécurité. Il relève des défaillances critiques dans les fondements de confiance et de sécurité des services numériques gouvernementaux : l’infrastructure à clé publique (PKI) et la cryptographie.

Bien que l’audit ne mentionne pas explicitement la PKI, ses constats décrivent l’écosystème dans lequel doivent fonctionner les certificats numériques, les clés de chiffrement et les protocoles cryptographiques. Le rapport indique que le gouvernement fédéral ne dispose pas d’un inventaire complet de ses actifs informatiques, qu’un projet de surveillance centralisée est au point mort et que la coordination lors des incidents est insuffisante. Pour les professionnels de la sécurité, le risque est clair : on ne peut pas gérer ce que l’on ne voit pas, ni protéger ce que l’on ne peut pas coordonner.

Sans inventaire complet des actifs, comment le gouvernement peut-il vérifier que chaque serveur et ordinateur portable dispose d’un certificat numérique valide ? Comment corriger rapidement une vulnérabilité cryptographique critique comme Log4Shell sans connaître tous les systèmes concernés ? La réponse tardive à une attaque majeure de 2024, citée dans le rapport, montre les conséquences de défaillances dans le partage d’informations critiques, telles que la compromission d’une autorité de certification ou une vulnérabilité de chiffrement généralisée.

Cet audit appelle à renforcer les piliers de la PKI. Il rappelle que la solidité cryptographique ne suffit pas lorsque la gouvernance sous-jacente — visibilité, automatisation et collaboration — est faible. L’analyse ci-dessous examine les constats de l’auditeur général sous l’angle cryptographique et présente des mesures essentielles pour bâtir un gouvernement numérique résilient et digne de confiance.

Nous détaillons ci-après les principaux constats du rapport et les traduisons en observations concrètes sur les lacunes à combler pour renforcer la sécurité.

1. Pertinence directe : inventaire incomplet des actifs informatiques (prérequis critique pour la PKI)

Ce constat est particulièrement pertinent : il est impossible de gérer correctement les clés et certificats cryptographiques sans connaître les appareils et systèmes présents.

• Section : « Les inventaires centraux des actifs informatiques du gouvernement étaient incomplets, augmentant le risque de cyberattaques » (pages 11–12, par. 26–28).
• Pertinence pour la PKI/cryptographie : un inventaire complet et précis des actifs est un prérequis fondamental à toute PKI efficace. Sans connaître l’ensemble des serveurs, ordinateurs portables et équipements réseau, il est impossible de vérifier que :
  • Tous les systèmes disposent des bibliothèques cryptographiques nécessaires et sont correctement configurés.
  • Les certificats numériques sont déployés sur tous les endpoints requis.
  • Les certificats expirés ou compromis sont détectés et révoqués rapidement.
  • Les systèmes utilisant le chiffrement, au repos ou en transit, sont recensés et gérés.

2. Forte pertinence : lacunes de surveillance et de réponse ayant un impact sur la gestion des incidents cryptographiques

L’incapacité à surveiller et à réagir efficacement compliquerait la réponse aux incidents impliquant une cryptographie compromise, par exemple le vol d’une clé privée.

• Section : « Il existait une lacune dans la surveillance des événements de cybersécurité suspects… » (pages 10–11, par. 22–25).
• Pertinence pour la PKI/cryptographie : un système SIEM, dont la mise en œuvre a été retardée, est essentiel pour détecter les anomalies pouvant signaler une défaillance ou une attaque cryptographique. Il pourrait notamment alerter sur :
  • Des systèmes qui ne parviennent pas à établir de connexions TLS, ce qui peut révéler des problèmes de certificats.
  • Des tentatives d’authentification inhabituelles contournant les contrôles cryptographiques.
  • Des schémas associés à des attaques de rétrogradation cryptographique.
  • L’absence de cet outil peut faire passer ces signaux inaperçus.

3. Forte pertinence : mauvaise coordination et partage de l’information affectant la gouvernance PKI

Le cadre de gouvernance et de réponse aux incidents cyber est faible, ce qui peut compromettre la gestion d’un incident PKI grave.

• Section : « Les procédures et protocoles de coordination et de partage d’informations en cas de cyberattaque étaient incomplets… » (pages 13–14, par. 32–34).
• Pertinence pour la PKI/cryptographie : un incident cryptographique grave, comme la compromission d’une CA racine ou une vulnérabilité généralisée d’un standard de chiffrement, exigerait une action rapide et coordonnée à l’échelle du gouvernement. Le délai de 7 jours constaté pour partager des informations critiques lors d’une attaque (Exhibit 5) montre que les procédures de gestion d’une crise susceptible d’invalider la confiance entre les systèmes gouvernementaux — objectif même de la PKI — sont insuffisantes.

4. Pertinence implicite : la nouvelle stratégie de cybersécurité comme cadre stratégique

Les objectifs de la stratégie dépendent intrinsèquement d’une cryptographie robuste.

• Section : « Une nouvelle stratégie a guidé les activités de cybersécurité du gouvernement » (pages 4–5, par. 10–11 et Exhibit 2).
• Pertinence pour la PKI/cryptographie : les objectifs tels que « prévenir et contrer plus efficacement les cyberattaques » et « établir un cadre pour améliorer la détection et la prévention des activités frauduleuses » reposent largement sur les signatures numériques, le chiffrement et l’authentification par certificat. Leur réussite dépend d’une PKI robuste.

Nous contacter