Qu'est-ce que PQC pour les tunnels IPsec?

L'un des principaux risques associés à l'informatique quantique est le modèle "capturer maintenant, déchiffrer plus tard". Dans ce scénario, les attaquants capturent le trafic chiffré aujourd'hui, le stockent et attendent que les capacités quantiques soient suffisamment avancées pour casser le chiffrement classique.

Même si le trafic ne peut pas être déchiffré maintenant, des informations sensibles ayant une longue valeur de rétention peuvent être exposées à l'avenir. PQC atténue ce risque en incorporant des algorithmes d'échange de clés résistantes quantiques dans le processus de négociation IPsec. En conséquence, le trafic capturé aujourd'hui reste protégé même contre les tentatives de déchiffrement quantiques futures.

De nombreuses organisations s'appuient sur des tunnels IPsec de longue durée pour transporter du trafic sensible entre sites, centres de données et environnements cloud. Ce trafic inclut souvent des données réglementées ou critiques pour l'entreprise qui doivent rester confidentielles pendant des années ou des décennies. En activant PQC, vous aidez à garantir que la force du chiffrement s'aligne sur les stratégies de protection des données à long terme et les normes de sécurité émergentes.

PQC pour les tunnels IPsec est implémenté en utilisant une approche de négociation IKEv2 hybride-prioritaire. Pendant l'établissement du tunnel, la cryptographie classique et les algorithmes PQC sont négociés ensemble. Cette conception préserve l'interopérabilité avec des pairs qui ne prennent pas encore en charge PQC et maintient la connectivité via un mécanisme de repli contrôlé si nécessaire.

Cette approche vous permet d'introduire la cryptographie résistante quantique sans perturber la connectivité site-à-site existante ni exiger des mises à niveau simultanées sur tous les pairs.

Le support PQC inclut la télémétrie qui offre un aperçu du comportement de la négociation des tunnels. Vous pouvez surveiller les résultats des négociations, identifier des scénarios de repli et valider des négociations quantiques sûres réussies. Cette visibilité vous aide à déterminer quels pairs sont prêts pour PQC et à gérer le processus de migration de manière contrôlée et mesurable.

La configuration PQC est intégrée directement dans les paramètres des tunnels IKEv2 et IPsec et est exposée via les API pertinentes et les champs AccountSnapshot. Cela vous permet de gérer les paramètres cryptographiques de manière centralisée dans l'application de gestion Cato (CMA). L'adoption de PQC n'introduit pas de complexité opérationnelle supplémentaire. Le modèle de configuration reste cohérent avec les processus de gestion IPsec existants.