GitHub déploie un nouvel algorithme hybride d'échange de clés SSH sécurisé post-quantique afin de renforcer la sécurité de l'accès aux données Git

Offrant une protection renforcée aux utilisateurs SSH

GitHub déploie un nouvel algorithme hybride d'échange de clés SSH sécurisé post-quantique afin de renforcer la sécurité de l'accès aux données Git, offrant une protection renforcée aux utilisateurs SSH

GitHub déploie un nouvel algorithme hybride d'échange de clés SSH sécurisé post-quantique afin de renforcer la sécurité de l'accès aux données Git. Cette mise à jour vise à renforcer la protection des utilisateurs lorsqu'ils se connectent via SSH. Le nouvel algorithme combine Streamlined NTRU Prime, un protocole sécurisé post-quantique, avec la méthode classique Diffie-Hellman à courbe elliptique utilisant la courbe X25519. Si ces changements apportent une protection renforcée aux utilisateurs SSH, ils n'ont aucune incidence sur ceux qui accèdent aux référentiels via HTTPS.

Les pirates informatiques se préparent activement à l'émergence de l'informatique quantique, un domaine qui menace de bouleverser le chiffrement moderne et qui pourrait permettre le déchiffrement massif de données volées. Selon Brian Witten, vice-président et directeur de la sécurité des produits chez Aptiv, il est temps d'investir dans la cybersécurité quantique. Il propose notamment d'identifier les changements à apporter à l'ensemble des chaînes d'outils et de commencer dès aujourd'hui à utiliser le chiffrement résistant à l'informatique quantique.

Dans ce contexte, GitHub déploie un nouvel algorithme hybride d'échange de clés SSH sécurisé post-quantique afin de renforcer la sécurité de l'accès aux données Git. Cette mise à jour vise à renforcer la protection des utilisateurs lorsqu'ils se connectent via SSH. GitHub est une plateforme propriétaire qui permet aux développeurs de créer, stocker, gérer et partager leur code. Elle utilise Git pour fournir un contrôle de version distribué et GitHub lui-même fournit un contrôle d'accès, un suivi des bogues, des demandes de fonctionnalités logicielles, une gestion des tâches, une intégration continue et des wikis pour chaque projet.

Il est couramment utilisé pour héberger des projets de développement de logiciels open source. En janvier 2023, GitHub comptait plus de 100 millions de développeurs et plus de 420 millions de référentiels, dont au moins 28 millions de référentiels publics. Il s'agit du plus grand hébergeur de code source au monde en juin 2023. Plus de cinq milliards de contributions de développeurs ont été apportées à plus de 500 millions de projets open source en 2024.

Le nouvel algorithme combine Streamlined NTRU Prime, un protocole sécurisé post-quantique, avec la méthode classique Diffie-Hellman à courbe elliptique utilisant la courbe X25519. Bien que les algorithmes post-quantiques aient fait l'objet d'une analyse moins approfondie que les méthodes établies, cette approche hybride garantit que le niveau de sécurité global n'est jamais inférieur à celui de l'algorithme classique seul. Ainsi, les connexions SSH sur GitHub sont désormais protégées contre un éventuel décryptage par les ordinateurs quantiques actuels et futurs.

Si ces changements apportent une protection renforcée aux utilisateurs SSH, ils n'ont aucune incidence sur ceux qui accèdent aux référentiels via HTTPS. Les nouvelles mesures cryptographiques excluent également les clients GitHub Enterprise Cloud dont les données sont hébergées aux États-Unis, car seule le chiffrement approuvée par la FIPS est autorisée dans cette région et la méthode post-quantique n'a pas reçu l'approbation de la FIPS.


Quels sont les changements ?

GitHub ajoute un nouvel algorithme d'échange de clés SSH sécurisé post-quantique, également connu sous les noms sntrup761x25519-sha512 et sntrup761x25519-sha512@openssh.com, aux points de terminaison SSH pour accéder aux données Git. Cela n'affecte que l'accès SSH et n'a aucun impact sur l'accès HTTPS. Il n'affecte pas non plus GitHub Enterprise Cloud dont les données sont hébergées aux États-Unis.

Ces changements permettront de sécuriser vos données aujourd'hui et à l'avenir en les protégeant contre les futures attaques de déchiffrement menées par des ordinateurs quantiques. Lorsque vous établissez une connexion SSH, un algorithme d'échange de clés est utilisé pour que les deux parties s'accordent sur un secret. Ce secret est ensuite utilisé pour générer des clés de chiffrement et d'intégrité. Si les algorithmes d'échange de clés actuels sont sécurisés, de nouveaux algorithmes sont en cours d'introduction afin de garantir la sécurité contre les attaques cryptographiques menées par des ordinateurs quantiques.

Nous ne savons pas s'il sera un jour possible de produire un ordinateur quantique suffisamment puissant pour contourner les algorithmes d'échange de clés traditionnels. Néanmoins, un pirate pourrait enregistrer des sessions chiffrées dès maintenant et, si un ordinateur quantique adapté est construit à l'avenir, les déchiffrer plus tard. C'est ce qu'on appelle une attaque de type « stocker maintenant, déchiffrer plus tard ».

Afin de protéger votre trafic vers GitHub lorsque vous utilisez SSH, GitHub déploie un algorithme hybride d'échange de clés post-quantique : sntrup761x25519-sha512 (également connu sous son ancien nom sntrup761x25519-sha512@openssh.com). Celui-ci offre une sécurité contre les ordinateurs quantiques en combinant un nouvel algorithme post-quantique sécurisé, Streamlined NTRU Prime, avec l'algorithme classique Elliptic Curve Diffie-Hellman utilisant la courbe X25519. Même si ces algorithmes post-quantiques sont plus récents et ont donc été moins testés, leur combinaison avec l'algorithme classique garantit que la sécurité ne sera pas moins bonne que celle offerte par l'algorithme classique.

Actuellement, les chercheurs du monde entier s'empressent de mettre au point de nouveaux dispositifs appelés ordinateurs quantiques, qui pourraient réaliser de nombreuses choses que les ordinateurs classiques ne peuvent pas faire, y compris briser les défenses qui protègent les informations électroniques confidentielles. Le NIST dirige un effort mondial visant à créer des défenses électroniques contre de telles attaques dans le cadre de son projet de chiffrement post-quantique (PQC). Un rapport du NIST livre des réponses à des questions courantes sur cette technologie en développement.

Source : GitHub

Et vous ?

Pensez-vous que cette annonce est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Un processeur quantique a résolu en quelques minutes un problème complexe du monde réel qu'un superordinateur classique mettrait des millions d'années à résoudre, affirment des chercheurs de D-Wave Quantum Inc

Informatique quantique : pourquoi les cybercriminels attendent cette technologie, un domaine qui pourrait permettre le déchiffrement massif de données volées

Les grandes entreprises en urgence après une attaque sur GitHub ayant exposé leurs données sensibles. L'incident révèle les limites de la sécurité dans l'open source actuel