Le projet Quantum-Secure Net (partie 3/3): produit européen de QUANTUM KEY DISTRIBUTION

Le défi de la distribution de clés quantiques (QKD)

Le projet Quantum-Secure Net (Q-Secure Net) est un projet financé par l'Institut européen de technologie numérique (EIT Digital) dont le but est de développer et de mettre sur le marché un produit de réseau de nouvelle génération et de nouvelle génération entièrement européen, basé sur Technologie de distribution de clés quantiques (QKD), durable en termes de coût et interopérable avec d'autres systèmes existants. L'objectif du projet est de fournir une solution prête pour les télécommunications, intégrée à l'exploitation et à la gestion du réseau, pour garantir des communications de bout en bout sécurisées au niveau quantique (E2E) dans des environnements de haute sécurité.

Proposé déjà au début des années 1980, QKD est une technologie liée au calcul quantique du fait qu'elle utilise la même «terminologie» mathématique: on peut dire que dans ce cas on parle de «quantique» sans l'attribut «informatique». La technologie a mis près de 40 ans à évoluer, mais c'est désormais l'un des principaux domaines de concurrence technologique entre les pays au-delà de la 5G, notamment la Chine, la Corée et les États-Unis. QKD en particulier utilise les propriétés quantiques des photons pour échanger une clé cryptographique symétrique, qui peut être utilisée pour crypter des messages qui sont ensuite échangés via un canal «traditionnel». La sécurité de QKD repose sur des lois fondamentales de la nature, insensibles à l'augmentation de la puissance de calcul, aux nouveaux algorithmes d'attaque ou aux ordinateurs quantiques. Ce système permet, une fois mis en place, d'équiper les infrastructures réseau hautement sécurisées de communications sécurisées inconditionnellement.

Le projet Q-Secure net

Le projet Q-Secure Net vise à fournir une solution rentable et flexible pour les services de communication QKD à sécurité inconditionnelle qui fonctionnent avec les réseaux métropolitains à fibre optique existants. Le chef de projet est Italtel. Parmi les partenaires, Cefriel a suivi deux des scénarios d'application, Politecnico di Milano et CNR ont développé la technologie QKD et les protocoles de correction d'erreurs, l'Université polytechnique de Madrid et Telefonica ont participé à la définition du produit et aux tests sur le réseau métropolitain de fibre optique.

Au cours du projet, deux applications prototypes ont été développées, dans le but de démontrer leur utilisation dans le contexte Blockchain et SSL, montrant comment la technologie QKD peut être appliquée à la fois au marché financier et pour sécuriser les communications IoT (Internet of Things) et IIoT. ( IoT industriel). Le produit convient à tout service nécessitant une clé de chiffrement symétrique et ouvre à d'innombrables applications et cas d'utilisation.

Le scénario SSL + PSK

La première application développée est liée au protocole SSL / TLS. Ces protocoles permettent une communication sécurisée entre deux entités en opérant au-dessus de la couche de transport. Habituellement, SSL utilise des certificats de clé publique pour l'authentification. En particulier, cependant, la norme prévoit déjà une configuration spéciale (SSL + PSK Pre-Shared Keys) qui utilise des clés symétriques, pré-partagées au préalable entre les parties communicantes, pour établir une connexion SSL. Une configuration mise en œuvre, par exemple, pour prendre en charge les cas dans lesquels les parties communicantes ne peuvent pas utiliser le cryptage asymétrique car il est coûteux en termes de connectivité ou de calcul (par exemple IoT) ou parce que les parties sont déjà «accréditées» (par exemple militaire).

Les étapes de communication détaillées pour SSL + PSK sont les suivantes, directement inspirées du schéma Diffie-Hellman proposé pour PKI.

1. Alice et Bob reçoivent la même clé cryptographique (symétrique) sur un lien QKD

2. Alice utilise la clé symétrique QKD pour crypter une clé de session temporaire, générée aléatoirement, qui a une durée de vie limitée et l'envoie à Bob, sur un canal non sécurisé (Ethernet)

3. Bob reçoit le message et le déchiffre pour obtenir la clé de session temporaire.

4. Alice et Bob utilisent la clé de session temporaire avec AES pour crypter leurs messages sur Ethernet jusqu'à ce qu'elle expire (puis l'étape 2 est répétée). En cas d'attaque via le lien QKD, Alice et Bob peuvent demander une autre clé QKD sécurisée.

Le scénario est activé pour les services VPN et IPSEC avec QKD.

Le scénario de la finance décentralisée

Les technologies blockchain sont nées fin 2009 avec l'avènement du protocole Bitcoin et évoluent à ce jour dans une famille de protocoles et de systèmes SW essentiellement dans le but de créer un réseau (peer to peer network) de «pairs» capables de échanger une valeur transactionnelle (devise, actif avec valeur, certification) directement, sans tiers fiduciaire. Éliminant ainsi, grâce au mécanisme du consentement partagé, la nécessité d'avoir des tiers et activant l'échange direct de biens et de services. Ces systèmes ont une application dans le domaine financier, à la fois dans les processus interbancaires, par exemple dans le suivi des actifs et les scénarios de cycle de vie tels que les factures (par exemple, remise sur facture) et dans les processus et services qui peuvent être créés à partir de jetons (donnant lieu au phénomène de la finance décentralisée).

En particulier, dans le Finance décentralisée (Defi), l'un des aspects clés est l'interopérabilité des systèmes et l'échange de jetons et de crypto-monnaies, soumis à des défis de sécurité connus et considérables. Aujourd'hui, il existe des dizaines de milliers de jetons dérivés Ethereum, et ils sont «techniquement» interopérables les uns avec les autres, ce qui signifie que différentes applications peuvent échanger ces jetons, tout comme l'échange de devises ou d'actions sur les bourses de négociation. Ces opérations sont aujourd'hui confiées à des Bourses centralisées qui sont souvent sujettes à des problèmes de sécurité et représentent le seul élément encore centralisé dans des systèmes qui sont pourtant totalement peer-to-peer.

Dans ce contexte «financier», il y a toujours un «nœud» dans le réseau, appelé portefeuille en jargon technique (portefeuille) qui permet d'échanger la valeur, c'est-à-dire le jeton. Ce nœud possède des informations spécifiques qui lui permettent d'exécuter la transaction.

De plus, dans les scénarios Fintech actuels, il existe plusieurs crypto-monnaies et réseaux, une faiblesse reconnue. La «transition» d'une crypto-monnaie à une autre, d'un token à un autre, entre deux systèmes portefeuille, nécessite la transition vers un tiers de confiance, contredisant le paradigme de la décentralisation. Cette situation, par exemple dans le contexte Ethereum, est résolue en passant, dans certains cas, comme récemment proposé, par le mécanisme deAtomic Swap. L 'Atomic Swap est l'une des solutions possibles proposées pour faire interagir différents réseaux blockchain, et est un "système" pour le passage sécurisé directement entre les nœuds participant à différents réseaux blockchain, d'informations (hachage o timelock^*) requis pour déverrouiller le bureau de change.

Cette information symétrique permet de coupler différents réseaux, et il est donc important, au vu de l'évolution des réseaux blockchain dans les contextes financiers, de la sécuriser.

Dans l'objet de configuration expérimentale du projet, leAtomic Swap n'a plus lieu sur un réseau de télécommunication "commun", mais utilise un QKD Link, qui permet le paramètre de transfert de hashlock / timelock entre deux nœuds d'un réseau Algorand (notez que dans le jargon Algorand le terme Transferts atomiques). Cette solution augmente la sécurité intrinsèque du central et permet donc d'utiliser Atomic Swap même avec des crypto-monnaies.

Développements attendus

En un an, le projet Q-Secure Net a conduit à la création d'un produit prêt pour les premières applications du marché, mais qui a le potentiel de saisir les opportunités d'un marché en croissance rapide. Dans l'article, un premier scénario naturel d'utilisation du QKD a été évoqué, pour des connexions avec des exigences de sécurité élevées ou où le sécurité éternelle.

Les réseaux d'appareils équipés de QKD Link sont également intéressants. Une première architecture de réseau bond par bond a été démontrée en Europe en 2008 par le projet SECOQC; dans ces réseaux, les messages passent par différents nœuds de relais connectés par QKD Link. Dans ce cas, le décryptage / recodage et le relais du message sont effectués au niveau de chaque nœud intermédiaire avec des clés QKD différentes (voir figure 1).