HS 31 : "POST Luxembourg" avec Mohamed OURDANE | La cybersécurité expliquée à ma grand-mère

Description

Et si l'avenir de la cybersécurité se jouait déjà dans un data center luxembourgeois ? Dans cet épisode, Nicolas reçoit Mohamed, CISO de POST Luxembourg et physicien de formation, pour un voyage aux frontières de la physique quantique et de la sécurité de l'information.

Au programme : pourquoi les ordinateurs quantiques menacent nos chiffrements actuels (et pourquoi le « harvest now, decrypt later » doit déjà nous préoccuper), la différence entre la réponse mathématique (PQC) et la réponse physique (QKD) à cette menace, et surtout la mise en œuvre bien réelle d'un réseau QKD entre le Luxembourg et la Belgique — avec ses nœuds sécurisés, ses contraintes de distance et même un satellite lancé pour échanger des clés entre Luxembourg et Singapour.

Mohamed nous parle aussi de chiffrement homomorphique et de Secure Federated Learning appliqués à la lutte anti-fraude : comment deux entités peuvent collaborer et entraîner des modèles communs… sans jamais échanger leurs données.

Un épisode qui prouve que la science-fiction se construit parfois au cœur de l'Europe, et qu'oser reste la meilleure stratégie d'anticipation.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Bonjour mamie, j'ai ramené un copain. Bonsoir et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à ceux qui n'y comprennent rien. Alors il y a un sujet... auquel on a déjà fait référence plusieurs fois dans ce podcast, qui est la physique quantique. Parce que, comme vous le savez, c'est un pan de la science qui est assez prometteuse sur tout un ensemble de sujets et qui va avoir des impacts concrets aussi dans notre vie de tous les jours. Certains impacts seront probablement dans le futur, comme l'ordinateur quantique, qui aujourd'hui est quand même plutôt un objet d'étude et une curiosité de laboratoire. Alors que certains autres principes, enfin pas principes, mais applications de la physique quantique existent déjà aujourd'hui. C'est un sujet quand même assez extrêmement compliqué parce que déjà il faut s'y connaître un peu en physique quantique, ça c'est déjà le premier point. Et puis le deuxième c'est qu'il faut s'y connaître un petit peu aussi en cybersécurité pour comprendre quels sont les impacts et comment on peut utiliser tout ça pour améliorer certaines choses. Et justement, ce soir, j'ai la chance d'accueillir... Mohamed, qui est le ciseau de Poste à Luxembourg. Je l'ai invité parce que Poste à Luxembourg est très loin de simplement distribuer le courrier. C'est même un acteur majeur de la place de Luxembourg. En plus d'être ciseau de Poste, Mohamed est aussi physicien quantique puisque c'était sa formation initiale. Mohamed, est-ce que tu veux bien te présenter ?
Speaker #1
Bonsoir, merci pour la petite présentation déjà et je confirme ce que tu as dit, donc une petite précision pour les physiciens qui écouteraient. Je suis physicien atomique, mais la physique quantique évidemment derrière. On me pose souvent d'ailleurs la question, comment tu parles de la physique pour arriver au niveau de la cybersécurité ? Et tu sais Nicolas, j'ai un livre de chevet qui est l'archiviste de Paul Lequello, donc quelque part... On revient à ces sources et j'ai toujours tendance à dire qu'on dit que l'histoire se répète, mais en fait elle ne se répète pas, par contre elle est faite de plein d'œil. Donc effectivement dans mon parcours, j'ai commencé chez Post en 2022, j'ai travaillé sur tous les concepts de réseau, sur tout ce qui allait devenir le cloud par après, Et depuis 2015, disons à peu près, J'ai monté tout le département de cybersécurité. Il y a toujours eu une volonté, quand j'ai construit des équipes, c'était d'avoir au sein de l'équipe un esprit d'innovation, d'aller un peu au-delà de la routine quotidienne, si je puis la qualifier ainsi. Et par exemple, de faire preuve d'anticipation, de venir avec des sujets qui sont des sujets qu'on va considérer d'avenir. et parmi ces sujets là il y a ce domaine quantique alors je fais toujours une blague je dis que post-Luxembourg vu de l'extérieur on a l'impression qu'elle est antique mais en fait elle est quantique justement je vais le démontrer donc il n'y a effectivement pas que le courrier je te le confirme Nicolas et parmi ces sujets là c'est de se dire finalement avec les ordinateurs quantiques donc je pense que si on peut les expliquer en quelques mots, ce sont des ordinateurs qui utilisent des principes de physique et qui permettent de simplifier la complexité de certains calculs. Pas de tous les calculs, mais de certains calculs. Ce qui veut dire qu'il y a un certain type de calcul dans un ordinateur classique, ce que vous avez aujourd'hui et que vous utilisez tous les jours, il faudrait un temps, on va dire, infini pour... pour résoudre certains problèmes. C'est dû à la complexité du problème lui-même et les ordinateurs quantiques ne fonctionnent pas tout à fait de la même manière. Il y a cette notion de pas que de 1 et de 0, mais de 1, de 0 et de entre les deux, de 1 et 0 à la fois. C'est ce qu'on appelle le principe de superposition. Ça permet, grâce à ces principes physiques, de pouvoir simplifier la complexité de certains problèmes et donc de trouver des résultats en un temps. très très réduits.
Speaker #2
A l'école quand le prof de maths il m'a dit x ça fait 4 J'ai lâché l'affaire x ça fait 4 c'est quoi ce délire ? En fait à l'école ils t'apprennent des trucs qui ne marchent qu'à l'école Ça ne fonctionne que là-bas Dans la vie ça ne marche pas Ok exemple, admettons tu n'as pas de banane Sur ce stock de bananes que tu n'as pas, on t'en retire d'eux. Et on les multiplie par d'autres bananes qui n'existent pas. Et ça, ça fait quelle banane ?
Speaker #1
Donc ça, c'est un petit peu ce que les ordinateurs quantiques nous promettent. Alors, il y a de très très grands avantages avec ça, parce qu'il y a certains problèmes aujourd'hui qui sont très compliqués. à résoudre avec des ordinateurs classiques. Et avec des ordinateurs quantiques, on peut trouver des solutions qui vont s'appliquer par exemple à la chimie, aux structures moléculaires, à la biologie, etc. Donc ça, c'est un petit peu l'avantage. Mais j'allais dire, comme disait Einstein, je crois qu'en parlant de la science ou de la technologie en général, c'est qu'elle ne porte pas en soi de valeur morale, c'est-à-dire on peut les utiliser pour le bien, mais on pourrait les utiliser pour le mal, c'est un peu ce qui s'est passé avec le nucléaire d'ailleurs.
Speaker #0
Ce qu'on pourrait dire aussi sur l'IA, puisqu'aujourd'hui on voit l'usage de l'IA qui est fait de manière totalement parfois irrationnelle, donc ça s'applique aussi je pense à l'IA d'une certaine manière. Mais je te laisse continuer.
Speaker #1
Non mais tu as tout à fait raison, c'est aussi un sujet d'actualité, donc avec toutes les annonces comme MITOS, etc. Mais il n'y a pas que MITOS, c'est juste représentatif d'un mouvement plus global. Oui, on peut faire des choses qui vont améliorer les choses, et puis des choses qui vont utiliser cette technologie pour des objectifs, on va dire, plus douteux. En tout cas, pour l'ordinateur quantique, il y a certains algorithmes, ce qu'on appelle les algorithmes de Shaw. Pour donner cet exemple-là, il y en a d'autres qui ont été améliorées par la suite et qui permettent de pouvoir casser certaines cryptographies qu'on utilise actuellement. Quand je dis qu'on utilise, on l'utilise très largement. Par exemple, quand vous allez utiliser votre application bancaire, quand vous allez sur un site protégé, quand vous allez faire des communications chiffrées, etc. J'expliquerai après, par la suite, un petit peu ce que ça veut dire « casser » quelque part. Ça veut dire que quelqu'un peut intercepter votre communication et pouvoir déchiffrer. C'est sous-entendu qu'il a cette capacité avec les ordinateurs quantiques suffisants. On n'en est pas encore là, soyons très honnêtes. Ça ne veut pas dire qu'il ne faut pas se préparer. Mais il y a encore un autre phénomène, c'est, vous imaginez, une entité, un état, des groupes, qui vont... enregistrer plein de données aujourd'hui, tout simplement. Ils ne peuvent rien en faire, elles sont chiffrées, en se disant, demain, j'aurai la capacité de déchiffrer. C'est ce que les anglophones utilisent, « Harvest no, decrypt later » . Donc, ça veut dire, en fait, que le danger potentiel, il est déjà presque, aujourd'hui, en projection de ce qui pourrait se faire demain. Voilà. Donc, je ne dis pas, encore une fois... Soyons clairs, parce qu'on entend des discours un petit peu catastrophiques, tout chiffrement peut être déchiffré, etc. Il y a certains algorithmes qui sont plus ou moins résistants, on va dire ça comme ça, tout à fait. Donc je reviendrai avec un peu plus de détails par après. Nicolas ?
Speaker #0
Effectivement, on avait déjà discuté dans des épisodes précédents sur les chiffrements post-quantiques. enfin ceux qui ont résiste à l'ordinateur quantique et qui existe déjà aujourd'hui. Donc ça, c'est un sujet hyper intéressant. On l'abordera un petit peu plus tard, je pense, mais qui est, qu'est-ce qu'on doit faire aujourd'hui en tant que responsable de la sécurité des systèmes d'information ? Récemment, l'ANSI a annoncé qu'il ne certifierait plus, à partir de 2030, des systèmes d'information qui ne supporteraient pas, qui n'auraient pas implémenté les chiffrements post-quantiques. Donc on commence, on voit, c'est exactement ce que tu dis, c'est-à-dire que... Ce n'est pas demain matin qu'on va avoir un ordinateur quantique sur notre bureau. Et en plus de ça, ce n'est pas ça qui va faire tourner Excel plus rapidement, malheureusement. Mais en revanche, c'est quand même des choses qui se sont anticipées de plus en plus. Et tu as bien résumé finalement quelle était ta mission aujourd'hui, qui était justement d'anticiper. Et finalement, là-dessus, quelque part, tu as donné raison, puisqu'ils sont déjà en train d'anticiper ce genre de choses. et ce qui est intéressant c'est justement de savoir ce que ce à quoi on doit déjà penser aujourd'hui pour se prévenir de problèmes plus tard. Donc je te laisse continuer. On était sur les chiffrements post-quotiques.
Speaker #1
Oui, alors juste pour compléter ce que tu viens de dire, le pire pour une société, c'est d'être pris au dépourvu, de ne pas être préparé. Peut-être que ce rêve quantique ne se réalisera jamais, dans le sens où il y a deux positions au niveau des physiciens. Il y en a certains qui pensent que la nature même fait en sorte qu'on n'arrivera pas à quelque chose de stable. qui soient scalable par essence, j'allais dire, et d'autres groupes qui pensent que finalement, avec la technologie, on arrivera quand même à arriver avec des ordinateurs qui ont la capacité nécessaire. On verra à qui le temps donnera raison. Toutefois, ce que je voulais dire, c'est qu'au sein d'une entreprise, c'est quand même, en termes de préparation, un sujet complexe parce que ça nécessite d'abord de comprendre... tout son système d'information, quels sont les chiffrements qui sont utilisés, les algorithmes utilisés. Donc, c'est ce qu'on appelle en fait tout simplement un inventaire, ou le CBOB, Cryptographic Bill of Materials. Donc, essayer de comprendre un petit peu tout son environnement. Et puis ensuite, à partir de là, de dire comment je prépare en post-quantique. Et j'expliquerai le post-quantique, qu'est-ce que ça signifie. Ça peut être le post-quantum clue. cryptographie, le PQC, ça peut être aussi du QKD, du Quantum Key Dissolution. Je vous expliquerai la différence entre les deux. Mais en tout cas, c'est un exercice qui est en train de se faire. Les grands players, par exemple, comme Google, Microsoft, etc., sont déjà annoncés, proposent déjà des algorithmes qui sont, disons, post-quantiques. Mais... Dans un système d'information, dans une entreprise, il y a des choses que vous maîtrisez, il y a plein de choses que vous maîtrisez, que vous héritez de fournisseurs, etc. Donc ça veut dire que ça doit être un mouvement global, et ça ne peut pas être juste, on ne peut pas juste couvrir un sous-ensemble du système d'information si le risque menait à se présenter. Donc voilà, c'est un exercice de préparation, je pense qu'il y a beaucoup d'entreprises. L'Europe pousse aussi, donc en fixant un petit peu... ces délais pour avoir un inventaire et puis aussi commencer ce qu'on appelle le processus de mise en place de la crypto-agilité. Crypto-agilité, ça veut dire en fait faire vivre le post-quantum en même temps que la cryptographie, on va dire classique, dans un mouvement de transformation parce que naturellement, ce n'est pas quelque chose qu'on va faire en un mois, c'est quelque chose qui se rafraîche sur le long terme. Donc, comme j'expliquais aussi, il y a deux approches pour, on va dire, répondre à cette problématique. Et vu qu'il y a aussi, dans ceux qui vont nous écouter, il y aura probablement des personnes qui ont un background de physicien, d'autres personnes qui ont un background de mathématicien. Vous savez, il y a toujours ce combat entre les physiciens et les mathématiciens. Je pense qu'il a été encore soulevé avec l'IA récemment, d'ailleurs. J'allais dire, le PQC, c'est une réponse mathématique. Le QKD, c'est une réponse physique. Voilà pour résumer. Donc, le PQC, c'est de venir avec des algorithmes qui sont censés résister un petit peu à la capacité que pourraient apporter les indices interquantiques. Donc c'est une réponse mathématique de chiffrement, on va dire, spécifique. Le QKD, lui, va utiliser des processus physiques, tout simplement. Parce qu'en fait, quand on parle de chiffrement, il faut toujours avoir à la tête qu'on utilise des algorithmes qui sont connus. classiquement par exemple triple DS, RSA enfin ce genre de choses mais il faut une clé et cette clé là, il faut que dans ce qu'on appelle le chiffrement symétrique il faut qu'elle soit la même de chaque côté donc se pose la question c'est comment j'échange cette clé il y a les approches classiques de valise diplomatique mais c'est pas si sécurisé que ça bien sûr Il y a des algorithmes qui ont été inventés pour permettre cet échange de clés. Ces algorithmes-là, classiquement, sont potentiellement cassables avec les ordinateurs quantiques. L'idée, c'est de dire comment on va échanger ces clés-là, mais de telle manière que s'il y a quelqu'un qui interfère, qui va essayer de capturer cet échange-là, physiquement, le système se transforme. On va utiliser des phénomènes physiques. plusieurs méthodologies, il y a plusieurs types de protocoles. Il y a des protocoles qui vont utiliser ce qu'on appelle la polarisation des photons. Il y en a d'autres qui vont utiliser l'intrication, donc qui est vraiment, alors là, pour le coup, vraiment le fondement même de la physique quantique. Voilà. Et donc, voilà. Et je pense, moi, personnellement, qu'il va y avoir une combinaison des deux, du PQC et du... QKD, en sachant qu'aujourd'hui si on regarde au niveau mondial on a les Etats-Unis qui poussent beaucoup le PQC et l'Europe et l'Asie qui ont des approches de QKD. Donc en Europe, il y a le projet Euro QCI qui est en train de se mettre en place dans plusieurs pays européens. En Corée du Sud, ils sont très avancés. Donc eux, pour le coup, ils ont une loi au Parlement qui stipule que la Corée du Sud doit être, on va dire, la première dans ce domaine-là. Ils ont construit un réseau, il y a des institutions qui l'utilisent, etc. D'ailleurs, on pourrait fortement s'en inspirer. Et la Chine qui fait des expériences aussi en mettant un lien physique entre deux villes et l'utilisation aussi d'un satellite. Je précise ça parce que c'est exactement ce qu'on est en train de faire au niveau de Passe-Luxembourg.
Speaker #0
Alors justement, ça c'est quand même quelque chose, parce que là, en l'espace de 16 minutes, 15 minutes, tu as déjà dressé, enfin expliqué pas mal d'éléments assez importants en niveau des avancées en matière de physique quantique et d'application en matière de cybersécurité. Mais ce que tu n'as pas dit, c'est qu'il y a beaucoup de choses qui sont déjà en œuvre. Et ça, c'est quelque chose qui, moi, quand on a discuté, quand on a préparé cette émission, un peu m'a... c'est que quand on parle encore une fois de Post Luxembourg, on ne pense pas que vous avez tout ça en stock et que vous êtes finalement quand même très avancé sur ce genre de choses. Théomitre dit aussi que vous aviez déjà un ordinateur quantique qui était à disposition dans vos data centers, donc qui est un peu, on va dire, un prototype et plutôt quelque chose qui permet de valider certains concepts de base. Mais il y a déjà des choses un peu réalistes, enfin réelles qui existent et qui sont déjà en cours d'application. Donc ça, c'est quand même quelque chose de très intéressant et sur lequel vous travaillez quand même de manière assez active. Donc je te laisse juste continuer, parce que je pense que c'était important de préciser ça pour que tout le monde puisse remettre un petit peu les choses dans leur ordre.
Speaker #1
Ok. Effectivement, je suis advisor dans une association qui vient de s'accueillir qui s'appelle le LQA, le Tsembor Quantum Alliance. et à travers le LQA, on... On a ramené un ordinateur quantique qui peut être mis dans un data center d'une société irlandaise. On l'a ramené pour que les gens le voient physiquement. Toujours intéressant parce que quand on s'imagine l'ordinateur quantique, c'est souvent... Il y a différents types d'ordinateurs quantiques, déjà, précisons, mais on le voit dans un laboratoire, quelque chose d'assez monstreux, d'énorme, etc. Mais là, on voit en fait, quelque part, un rack, le même type de rack que vous voyez dans les data centers, dans lequel, Il y a ce fameux ordinateur quantique. Alors la seule différence, c'est le bruit. C'est le bruit d'un frigo.
Speaker #3
J'aurais dû m'en douter qu'on était une famille bizarre. Vous savez à quoi on voit qu'on est une famille bizarre ? À nos frigos. T'as vu le frigo des gens normaux ? Quand tu regardes leur frigo, déjà quand tu l'ouvres, ils s'ouvrent pas comme ton frigo. Eux, leur frigo, ils s'ouvrent comme les portes du paradis, comme ça. Tu rentres dans le monde de Narnia frère Moi j'ouvre mon frigo, le premier truc sur lequel je tombe c'est une tête de mouton coupé Le mouton il te regarde comme ça T'ouvres le frigo on dirait qu'il va te dire tu veux une glace Attends, c'est pas fini ! A côté de la tête de mouton y'a quoi ? Une bouteille de coca avec de l'eau à l'intérieur ? Avec l'étiquette du coca arraché ? A côté de la bouteille de coca y'a un demi-citron coupé tout sec ? Il est l'heure de la fin ! là au cas où il ya des moustiques dans le frigo à côté du demi citron taquois un tube d'harissa plié en mille ta mère elle veut pas acheter un nouveau elle même le tube il en vitraux après dans la portière en haute à quoi tu as des oeufs à côté des eaux tu as des gouttes pour les yeux Et à côté des gouttes pour les yeux, t'as un vaccin que tu devais faire quand t'avais 4 ans ! Mais attends !
Speaker #1
Parce qu'en fait, il y a un conteneur cryogénique derrière, donc on maintient la température à 3 degrés Kelvin, dans lequel sont plongés un certain nombre de composants, donc c'est un bruit de frigo en fait. Mais le fait de visualiser, c'est toujours intéressant, de ne pas rester dans le théorique, mais de visualiser les choses. Donc ça c'était... une des actions qu'on a entreprises avec la Luxembourg Accountable Alliance. Et maintenant, par rapport à la réalisation, Poste Luxembourg, de l'extérieur, on le voit, fournit de la collectivité, on a déployé des fibres, etc. Et en termes de projection, c'est de se dire, comment on peut utiliser certaines de ces capacités pour pouvoir échanger des clés entre un point A et un point B. Ça, c'était l'idée. Donc il y a eu une construction qui s'est construite dans laquelle se trouve Starion, Hitech. une société aussi canadienne qui s'appelle EvolutionQ. D'ailleurs, je précise EvolutionQ, il y a une des personnes au Canada qui fait partie de tout ce contexte, qui a reçu le prix Turin, puisque c'est lui qui a développé pas mal d'algorithmes, d'algorithmes plutôt de processus, de signalisation utilisés au niveau du QKD. C'est le professeur Brassard, pour ceux qui veulent en chercher. Et donc, qu'est-ce que je voulais dire ? Et tout ça sous l'égide de l'Agence spatiale européenne. Toujours important d'avoir des partenaires extérieurs, que ce soit le ministère de l'Économie ou des organismes européens. Et donc, qu'est-ce qu'on a décidé de faire ? Eh bien, on voulait mettre en place un réseau QKD pour deux raisons. Démontrer que ça peut fonctionner, ça c'est la première chose. La deuxième chose, démontrer que ça peut être opéré. Parce qu'il ne faut jamais oublier qu'il y a une grande différence entre un prototype et quelque chose que l'on peut opérer, c'est-à-dire qui est stable, qui peut fournir des services, etc. Donc l'idée de construire ce prototype, c'est finalement pour avoir quelque chose sur lequel on peut toucher, que l'on peut manipuler, que l'on peut perturber pour voir comment tout ça fonctionne. Et ça, c'est très important. Et donc, qu'est-ce que l'on a décidé ? On a mis un lien physique entre Redu en Belgique et le Vindof, le data center de poste. Alors, ce n'est pas un lien direct. C'est très important de préciser, Nicolas, c'est que malheureusement, les boîtiers qui génèrent... qui sont utilisés pour le QKD, c'est une société qui s'appelle IDQ, il y a des limitations en termes de distance. C'est à peu près aux alentours de 100 km. Et encore, 100 km, ça dépend si la fibre est de bonne qualité. C'est 100 km de fibre, j'entends. Et donc, ça voulait dire qu'il fallait mettre un nœud intermédiaire, qu'on appelle des nœuds sécurisés, entre le Luxembourg et la Belgique, qui se trouvaient à côté de l'autoroute. Donc, si je précise... c'est un prototype, mais se pose la question aussi de chaque nœud intermédiaire doit être ultra sécurisé, parce que sinon, ça n'a pas de sens.
Speaker #0
C'est un point très intéressant que tu donnes là, parce que c'est un peu la mise à l'échelle de quelque chose qui fonctionne dans un labo avec 20 cm de distance et une application industrielle avec des vraies contraintes industrielles de distance, de coût, de sécurité, de rentabilité, etc. Donc ça, je pense que ça fait partie aussi du défi, c'est qu'à un moment donné, il faut se confronter à la réalité et faire en sorte de passer le pas. Et ça, ce n'est pas forcément quelque chose de facile.
Speaker #1
Tout à fait, tout à fait. Et justement, la problématique, c'est que vous avez un certain nombre d'éléments que vous maîtrisez très bien. Par exemple, la connectivité, c'est quelque chose qu'on fait tous les jours. Donc on a des systèmes qui permettent de... par exemple de transporter tout type de paquets, ça, j'allais dire, c'est notre business traditionnel. Par contre, quand on rajoute cette couche au-dessus, il y a d'autres contraintes. C'est les atténuations, la stabilité. Je dis toujours que, comment on appelle ça, qu'il y a un certain nombre de phénomènes que vous pouvez voir que lorsque vous avez mis quelque chose en prototype. exemple, ce nœud-là est à côté de l'autoroute, il y avait des perturbations liées naturellement à la chaleur, mais aussi au mouvement de l'autoroute elle-même. Dans un système de production, vous ne pouvez pas dépendre de trop d'aléas externes, on va dire ça comme ça. Ce réseau-là existe depuis maintenant plusieurs années. Ça, c'est très intéressant de le savoir. Et là, on passe à ce qu'on appelle la phase 2. La deuxième phase, elle est composée de plusieurs choses. La première chose, c'est un satellite. Ce satellite, qui s'appelle Spectre, a été lancé en novembre l'année dernière, par SpaceX d'ailleurs. C'est un satellite de la société Spectral, qui est notre partenaire singapourien. consortium que je n'avais pas cité pour le citer maintenant parce que c'est un composant et un partenaire important. Et donc l'idée c'est de construire un laser, ce qu'on appelle une optical ground station. Donc un laser pas aussi simple que ça parce qu'en fait il y a une coupole, il faut le protéger de l'environnement, il faut que ça soit super stable, etc. Enfin, énormément de contraintes. Cette coupole a été installée chez le partenaire Hitech. et l'ensemble sera installé sur la toiture du data center d'ici quelques mois. Et donc l'idée, c'est quoi ? C'est que lorsque le satellite, il va passer à peu près une fois par jour au-dessus de Luxembourg. Donc ce n'est pas beaucoup. Et je précise, lorsqu'il passe, il faut qu'il fasse nuit et qu'il n'y ait pas de nuages. Donc vous voyez la probabilité.
Speaker #0
En plus... nuit ça arrive toutes les 24h donc ça va, mais il n'y aura pas de nuages à Luxembourg là vous avez quand même un sacré défi je ne vais pas dire on va voir comment ça se passe c'est vrai,
Speaker #1
j'en connais, j'ai lutté pour qu'on le mette au balaiard, mais ça n'a pas été accepté mais bon j'allais dire c'est très intéressant ça fait partie du principe de comment on peut avoir quelque chose qui peut être mis en production Ce sont des contraintes que vous pouvez voir que lorsque vous avez mis les systèmes en place, en prototype, pour voir ce qui marche, ce qui ne marche pas, et puis toutes ces contraintes. Évidemment, l'objectif, ce n'est pas d'avoir qu'un seul satellite, c'est d'avoir une myriade de satellites, mais aujourd'hui, pour valider le principe, un satellite est suffisant. Donc on suppose, il y a eu des calculs qui ont été faits avec Spectral, qu'il y a une certaine probabilité où ça fonctionne, et on va récupérer des clés, les mêmes clés qu'il y aura à Singapour. Voilà. pour résumer. Et ayant les mêmes clés de chaque côté, c'est bon, ça veut dire qu'on peut après utiliser ces clés-là pour n'importe quoi. Et le test qu'on va faire, c'est juste créer un VPN, par exemple, entre le Luxembourg et Singapour. Ça, ça sera l'élément de démonstration. Et cette extension, on va dire, spatiale du lien QKD terrestre, elle est très intéressante parce que elle, pour le coup, un des canaux utilise l'intrication. Ce qui n'est pas le cas aujourd'hui de l'infrastructure terrestre qui utilise un autre type de protocole qui s'appelle COW. Mais tout ça, pourquoi je dis ça ? C'est parce qu'on a soumis un autre projet justement avec l'université, le SNT, pour utiliser des fibres spéciales de très très très haute qualité pour pouvoir utiliser un protocole qui lui utilise l'intrication.
Speaker #0
l'idée c'est d'avoir de l'intrication end-to-end d'accord ça juste sur l'intrication parce que c'est l'air de rien quand même mais c'est un niveau de sécurité supplémentaire finalement puisque si je suis correct dans ce que je dis du moment où on change l'état d'un photon, automatiquement ça perturbe le système et ça casse finalement automatiquement la transmission Ce qui fait une sorte de protection supplémentaire parce que toute attaque du type man in the middle, donc quelqu'un qui écouterait la transmission, casserait automatiquement la transmission et donc perdrait instantanément cette capacité de pouvoir récupérer la clé.
Speaker #1
Tout à fait, ça a été très bien résumé. L'intrication, c'est quelque chose qui est déroutant. Il y a eu de longs débats. parmi les physiciens, dont Einstein en l'occurrence, est bord sur le caractère de ce que c'est que l'intrication. Mais au-delà de ce débat, on va dire, de spécialiste, effectivement c'est, si il y a quelqu'un qui essaye de...
Speaker #0
de se mettre au milieu, il va perturber tout le système. Et quand je dis perturber, ce n'est pas une perturbation d'un algorithme mathématique, non, c'est une perturbation de la nature même des choses. Donc c'est pour ça que je vous ai dit, c'est une réponse physique, vraiment. Et ça, c'est très intéressant, ce qui veut dire, en généralisant le concept, c'est que vous pouvez échanger des clés de manière ultra sécurisée, et après vous pouvez utiliser ces clés-là pour un objectif de communication ou quoi que ce soit. Vous pouvez même utiliser certaines de ces clés-là avec du PQC éventuellement. Il y a beaucoup d'avantages. Alors, il y a des contraintes, parce que quand vous construisez un réseau comme ça, la question que vous devez vous poser, OK, très bien, vous avez ce super réseau, mais comment les clients vont l'utiliser ? Les clients au sens des entreprises, etc. Se pose aussi la question de ce qu'on appelle du last mile, donc entre vous, entre l'opérateur et... et le client. Et là, effectivement, il y a des principes en disant, on va utiliser du PQC ou on va utiliser un réseau overlay au-dessus pour pouvoir échanger les clés, etc. Donc, l'idée générale, en tout cas, dans tout ça, c'est de garder la logique de sécurité. La logique de sécurité, ça ne peut pas être un morceau ultra sécurisé et un autre morceau pas du tout sécurisé. Ça n'a pas de sens. Et ça, ce réseau-là, On espère l'avoir fonctionnelle d'ici la fin de l'année. Et c'est très impressionnant de voir l'OGS, parce que j'imaginais en tout cas que c'était plus petit que ça venait réellement. Donc on peut rentrer dedans. Il y a beaucoup de choses, beaucoup de mécaniques. Il y a beaucoup de... Quand on avait visité, il y avait même une zone de protection, une zone où on ne pouvait pas entrer parce qu'il y avait un champ magnétique important, pour pouvoir déplacer le... Le laser. Et donc, c'est vraiment de la mécanique de précision et puis aussi de l'optique. Vous voyez, le miroir, qui est vraiment... C'est une société belge qui a fait le miroir. Je crois que c'est des sociétés qui sont spécialisées, qui font aussi des grands miroirs pour les grands télescopes européens. Et ceux qui sont, par exemple, en Amérique du Sud. Je crois que c'était au Chili, il me semble, Alma. Et donc, c'est vraiment... vraiment des technologies de pointe. Mais ce qui est très intéressant, c'est qu'on rassemble toutes ces technologies de pointe et puis on fait quelque chose de fonctionnel, de concret. Et ça, c'est super enrichissant. Et comme je vous ai dit, quand je dis vous, toi, Nicolas, et l'ensemble de ceux qui vont nous écouter, l'idée d'avoir quelque chose qui utilise l'attrication end-to-end, eh bien, Ça va nous faire réfléchir aussi sur l'utilisation de fibres spéciales. Il y a des fibres creuses, par exemple. Il y a des fibres aussi de haute qualité qui sont fabriquées en environnement d'apesanteur. Ça, ça permettra de valider un certain nombre de choses. Vous voyez ? Donc, ça veut dire que par effet boule de neige, par effet indirect, on arrive à faire... On va dire qu'on peut améliorer certaines technologies qui sont des technologies classiques, tout simplement le transport d'informations.
Speaker #1
Merci pour ces explications sur la QKD et surtout, comme tu l'as très bien expliqué, comment on le met en œuvre aujourd'hui. Mais il y a quelque chose d'autre qui m'a intrigué dans les discussions qu'on a eues et sur les développements que Post fait actuellement, c'est l'utilisation de la cryptographie homomorphique. Parce que pour moi, la cryptographie homomorphique, c'était entre guillemets un peu un délire de mathématicien et donc n'était pas encore loin d'être mis en œuvre. et donc c'est exactement ce qu'on m'a expliqué c'est que toi tu cherches finalement à prendre des concepts physiques ou mathématiques on va dire plutôt de pointe et essayer de les rendre opérables en vrai, c'est à dire vraiment en faire des outils utilisables jour le jour et donc vous avez passé pas mal de temps et investi de l'énergie sur le chiffrement pardon le chiffre chiffrement homomorphique. Sachant que pour moi, le chiffrement homomorphique, donc tu vas certainement résumer le principe, mais permet quand même de résoudre quelque chose, un problème assez compliqué, qui est que ça permet donc d'appliquer des opérations mathématiques sur des données qui sont chiffrées, c'est-à-dire que l'ordinateur qui fait l'opération mathématique n'a pas la connaissance des données qu'il est en train de traiter. En revanche, la personne qui a la capacité de déchiffrer voit le résultat de l'opération. Et pour moi, ce type d'algorithme est hyper important. Donc tu l'as cité, mais sans le citer vraiment, Diffie-Hellman tout à l'heure, pour la distribution des clés symétriques dans un canal non sécurisé, en utilisant du chiffrement asymétrique. Mais pour moi, cette histoire de chiffrement homomorphique est quand même assez importante, parce que si d'aventure, un jour, on arrive vraiment à le mettre en œuvre, ça va résoudre un problème. qui est aujourd'hui un problème qui est énorme, c'est l'exécution, le traitement des données dans le cloud. Parce que le problème, c'est que la seconde où on fait un traitement dans le cloud, et particulièrement pour du cloud entre guillemets étranger, on fait quand même tourner des opérations à l'extérieur et on ne sait pas si c'est vraiment sécurisé ou pas. parce qu'on peut chiffrer les données, ce qu'on appelle data trace, donc chiffrer les données sur les disques durs, etc. Chiffrer les données en transit, on vient de l'expliquer comment on pouvait le faire justement avec le QKD, etc. Mais par contre, ce qu'on appelle le in motion, c'est-à-dire pendant l'exécution, aujourd'hui, il faut que les données soient en clair pour pouvoir être exécutées. Et ça, fondamentalement, c'est quand même un problème assez important pour moi dans le cloud. Et le chiffrement mammorphique, au même titre que... l'algo de Diffielman qui a permis la possibilité d'utiliser le HTTPS, etc., comme aussi les séries de Fourier qui ont permis de faire beaucoup de choses, y compris le JPEG, entre autres. Ça, pour moi, c'est un des algorithmes qui, le jour où ce sera vraiment mis au point et ça fonctionnera correctement, va un peu révolutionner le game, comme disent les jeunes, mais en matière de cyber pour la partie cloud. parce que ça permettra de régler ce problème. Et vous, donc Poste, et toi particulièrement, Mohamed, vous avez travaillé sur le sujet et vous avez eu certains résultats. Est-ce que tu veux bien nous expliquer ce que tu as fait ?
Speaker #0
C'est très complexe. Tu as bien explicité, on va dire, ce que peut faire le chiffrement numérique, en tout cas les problèmes que cela pourrait résoudre. Je voulais quand même expliquer la genèse, en fait, de pourquoi on a été dans cette direction-là. En fait, c'était venu un moment où on voulait, en fait, faire de la corrélation de données entre deux entités. Donc, une qui était chez nous et une qui était extérieure, externe. Et il y avait toute cette discussion sur est-ce que c'était anonymisé ? Est-ce que c'est pseudonymisé ? Avec des... débats allant plus finir avec des data protection officers mais aussi des juristes et après des régulateurs bon bref, c'était un débat compliqué alors que l'objectif lui-même était juste, on va dire de pouvoir agréger corréler des données qui viennent de deux sources différentes et puis pouvoir en tirer un avantage pour les deux parties d'ailleurs ça c'était un petit peu l'objectif Merci. et alors de ce problème là on s'est dit le vrai problème en fait c'est dire les entités au sens général du terme disent toujours on est ouvert à échanger mais dans la réalité on n'échange pas tant que ça, voilà pour être très clair et donc on s'est posé la problématique en disant comment entre deux entités différentes on peut Merci. extraire de l'information sans forcément échanger les données. C'était la problématique de base. Alors, on n'a pas directement été sur le homomorphique au début. On a commencé par certains principes de base. Par exemple, on va créer ce qu'on appelle une secure appliance. C'est un morceau de software qu'on va mettre chez ses fournisseurs de données. Et cette boîte, elle a la capacité de pouvoir traiter des données, puis pouvoir anonymiser, pseudonymiser, chiffrer, enfin faire plein d'opérations, avant que les données arrivent dans le data lake. Donc quand elles arrivent dans le data lake, normalement on n'aurait pas la capacité à revenir à la personne physique, il y a encore d'autres problèmes qui se posent dans le data lake, mais j'allais dire pour, en tout cas, la sortie. Il y a une certaine confiance, en tout cas, qu'on protège un petit peu ces données. Mais il ne faut pas trop les chambouler, les données, parce qu'au bout d'un moment, au niveau du Data Lake, on ne va pas en faire grand-chose. Il faut trouver le beau trade-off. Et donc, ça, c'était la première chose qu'on avait faite, qu'on a développée. Alors, on s'est beaucoup posé la question, justement, sur la qualité des données. c'est-à-dire qu'il fallait normaliser, il y a plein de problèmes de qualité, parce que, encore une fois, si vous n'avez pas la qualité de tonner, vous ne pouvez pas appliquer correctement les algorithmes d'anonymisation, donc voilà. On a passé quand même des heures et des heures, voire des jours et des semaines, à finituner ce genre de choses. Après, on s'est dit, peut-être que ça ne sert à rien, il ne faut pas mettre de boîte chez le client, on va juste... Fournir en tant qu'opérateur ce qu'on appelle une enclave sécurisée, c'est une sorte de zone dans un serveur que même l'opérateur du système du serveur ne peut pas accéder. Personne ne peut accéder. Il y a des cas en termes de sécurité dans lesquels cette zone pourrait être un peu chamboulée, mais il faudrait être présent physiquement. Mais si le serveur est dans un datacenter de tier 4, ultra sécurisé, le risque physique est déjà limité. Et après, finalement, on a deux players, deux fournisseurs de données, qui vont autoriser un certain nombre d'opérations dans l'enclave sur leurs données. Donc, InMotion, c'est chiffré. Atres, c'est chiffré. Et l'opération mémoire, comme tu l'avais évoqué pour le cloud, reste dans l'enclave. C'est-à-dire que pour l'appareil d'un système, on n'y voit rien. Donc, ça reste dans l'enclave. On l'a fait. On a démontré. On a fait de la correction de données. entre deux fournisseurs de données différents. Le problème de l'enclave sécurisée, c'est les limitations. Les limitations de mémoire, les librairies, elles sont spécifiques à l'enclave, donc il fallait les compiler, il y a toujours du retard par rapport à ça. Quand je disais une différence très productive et quelque chose d'opérable, ça c'est l'exemple typique. Théoriquement, ça fonctionne très bien, mais pour en faire quelque chose opérable tous les jours, c'est beaucoup plus compliqué. Ensuite, on s'est posé la question et j'avais à ce moment-là lancé l'idée de recruter un cryptologue dans l'équipe. Et ce cryptologue, on a dit, essayons de voir ce qu'on peut faire avec l'homomorphique. L'homomorphique, c'est dire, OK, j'envoie les données complètement chiffrées en homomorphique et je fais des opérations sur ces données-là. Alors, il y a des opérations en homomorphique qui sont simples à faire, mais d'autres qui sont carrément compliquées. C'est-à-dire que, et ça c'est les limites du full homomorphique, donc il y a du non full homomorphique, mais en full homomorphique il y a des limitations en termes de type d'opération et du nombre d'opérations cumulées que l'on peut faire. Et ça, on a fait quelques tests, mais c'était problématique, parce que si on est avec des idées par exemple d'analyse statistique sur les données, alors là ça devient compliqué. Rechercher. l'existence de quelque chose dans un caractère chiffré, c'est bon. Donc l'égalité, on va dire. Mais faire des opérations beaucoup plus complexes, c'est beaucoup plus délicat. Et sans compter la capacité de calcul qu'on doit avoir, qui n'est pas non plus négligeable. Donc on s'est dit, comment essayer de trouver une solution qui combine un petit peu tout ça. Et en tenant compte des limitations, ce qu'on a fait, c'est de dire, au lieu d'échanger les données, je vais prendre un cas très simple, j'ai des données IT, télécom, et j'ai des données de transactions bancaires. Et le use case, on va dire, c'est la fraude, l'antifraude. Aujourd'hui, la fraude, elle vit son monde, l'antifraude, et puis la sécurité vit son monde. Et l'idée, c'est de combiner tout ça, parce que dans un monde digital, les premiers signes d'une fraude, vous l'avez déjà au niveau sécurité, avant que ça ne devienne une fraude qui est une conséquence, quelque part, de quelque chose qui s'est passé un peu avant. Et donc, en imaginant que cette banque et que ce fournisseur IT, on va dire, sont deux entités complètement séparées, et on a la chance au niveau du groupe d'avoir une banque et un opérateur télécom, donc, j'allais dire, il n'y a pas cette problématique d'aller chercher, on va dire, quelqu'un d'extérieur. C'est de se dire, on a les données, on va entraîner un modèle local. Donc le modèle est entraîné, les deux modèles locaux sont fournis. Donc le modèle, c'est aussi tous les poids qui vont avec, les paramètres, les poids. Et tout ça est échangé en homomorphique. C'est le modèle et les poids qui sont échangés, pas les données. Les données, elles restent. Et le tiers de confiance, en fait, va utiliser... Ce chiffrement inférieur pour combiner les deux modèles et créer un modèle plus global qui va redonner aux deux fournisseurs de données. une fois combiné. Et une fois que ce modèle est reçu, la date appliquée va faire de l'inférence, c'est-à-dire qu'il va voir les transactions. De l'autre côté, on va voir des choses suspicieuses, des use cases un peu particuliers. Et ce qu'on va tester à la fin de la fin de l'année, c'est que quand on détecte quelque chose d'étrange au niveau IT, télécom, On envoie l'information de manière, ce type de chiffrement, au système d'anti-fraude pour pouvoir, par exemple, retarder une transaction. Et inversement, c'est quelque chose qui est bizarre au niveau de la fraude, de pouvoir remonter au niveau IT, télécom et de pouvoir faire des actions préventives ou réactives, le cas échéant. Donc voilà. Donc c'est... Pourquoi j'expliquais tout ça ? C'est qu'on part toujours d'une problématique, on veut régler un problème, et on regarde un petit peu... Quels sont les moyens pour régler ce problème-là ? Il peut y avoir des moyens complètement séparés, et on arrive dans une branche morte parce que ce n'est pas quelque chose qu'on peut opérer, et à la fin, prendre du recul et se dire, mais finalement, toutes les choses ont des limitations. Mais comment je peux combiner tout ça pour contourner ces limitations ? Par combinaison. C'est un petit peu ce qu'on fait, c'est ce qu'on appelle le Secure Federated Learning, et c'est quelque chose que l'on va... On a fait un premier prototype. juste pour pouvoir, si les modèles se combinent bien, ça, ça a fonctionné. Maintenant, on va aller plus dans une phase en disant, on va l'implémenter comme si on l'implémentait en production. Voilà un petit peu l'idée.
Speaker #1
Super. Alors, juste quand même pour nos éditeurs, parce qu'à la fin, quand tu expliques ça, on a l'impression que c'est simple, mais il ne faut pas oublier quelque chose, c'est que les données sont chiffrées, c'est-à-dire que vous manipulez des données qui sont incompréhensibles, par définition, elles sont chiffrées, donc voilà. et ça donne quand même un résultat à la fin et c'est ça qui est dingue dans cette histoire. Peut-être, tu veux rajouter le mot de la fin Mohamed ?
Speaker #0
Alors, moi je pourrais en parler pendant des heures et des heures, mais le mot de la fin, ça serait plutôt ce que je dis, dans des entreprises parce que pour faire le lien avec ce que tu as dit en introduction, dans beaucoup d'entreprises, il y a ces entreprises traditionnelles comme Poste, c'est une entreprise qui est qui a plus de 100 ans, c'est de se dire comment au sein de cette entreprise, je peux créer ce que j'appelle des bulles, des bulles qui fonctionnent comme des startups. C'est-à-dire, à l'intérieur de cette bulle, je mets les éléments, donc l'expertise, ce que j'appelle les clusters of skills, pour se dire, j'ai un problème, soyons créatifs. Comment je peux régler ce problème-là ? Anticipons, venons avec des nouvelles technologies, testons. Et je vous garantis qu'on l'a fait, par exemple, au niveau Telecom Security, on a réglé un problème, c'est devenu un produit que l'on vend à l'international. On a fait cette idéation aussi pour utiliser le blockchain à l'époque, on parlait beaucoup de blockchain, on a utilisé le blockchain pour l'intégrité, la confidentialité des données, l'authenticité des données plus généralement, et ça a donné un brevet qu'on a eu... quelques semaines, ça a duré 3-4 ans pour le brevet, mais on l'a eu. Et juste le chemin que l'on prend, c'est très important. Le mot que je veux dire, c'est doser. On apprend en faisant les choses. Et ça, dans la vie, c'est très important, et dans une entreprise, ça l'est encore plus parce que ça permet à l'entreprise de se projeter, de venir avec des nouvelles idées, de retenir aussi des talents. Il ne faut pas oublier que ça, c'est aussi quelque chose de très important. Donc,
Speaker #1
oser, Écoute, je te remercie en tout cas, Mo, pour le temps qu'on a partagé ensemble et de nous avoir donné ta vue sur tous ces éléments-là. Je crois qu'effectivement, oser, c'est ce qui caractérise quand même Poste. Et c'est un peu contre-intuitif parce que l'image de Poste à Luxembourg est... et parfois un peu, on va dire, trop humble, parce qu'on associe ça à beaucoup de services de télécom, de courrier, etc. Mais là, tu viens de soulever le voile sur tout ce que vous avez fait derrière, et je pense que c'était super intéressant, parce qu'on est quand même à des millions d'années-lumière d'imaginer que ces choses-là se passent en plein milieu de l'Europe, alors que ça paraît quand même parfois presque la science-fiction, mais ce n'est pas du tout la science-fiction, parce que tu viens d'expliquer que ton rôle, c'est justement de transformer... quelque chose qui paraît totalement illusoire et théorique en des choses très concrètes. Et encore merci d'avoir pris le temps de partager tout ça avec nous.
Speaker #0
Merci Nicolas.
Speaker #1
De rien. Encore une fois, je pense que c'était utile de donner un petit coup de projecteur sur ce que vous faites à Luxembourg. Voilà. Et pour terminer, comme je le dis souvent, pour certaines personnes, la sécurité est un enjeu du vieux de mort. C'est bien plus sérieux que ça.

Description

Un épisode qui prouve que la science-fiction se construit parfois au cœur de l'Europe, et qu'oser reste la meilleure stratégie d'anticipation.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Bonjour mamie, j'ai ramené un copain. Bonsoir et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à ceux qui n'y comprennent rien. Alors il y a un sujet... auquel on a déjà fait référence plusieurs fois dans ce podcast, qui est la physique quantique. Parce que, comme vous le savez, c'est un pan de la science qui est assez prometteuse sur tout un ensemble de sujets et qui va avoir des impacts concrets aussi dans notre vie de tous les jours. Certains impacts seront probablement dans le futur, comme l'ordinateur quantique, qui aujourd'hui est quand même plutôt un objet d'étude et une curiosité de laboratoire. Alors que certains autres principes, enfin pas principes, mais applications de la physique quantique existent déjà aujourd'hui. C'est un sujet quand même assez extrêmement compliqué parce que déjà il faut s'y connaître un peu en physique quantique, ça c'est déjà le premier point. Et puis le deuxième c'est qu'il faut s'y connaître un petit peu aussi en cybersécurité pour comprendre quels sont les impacts et comment on peut utiliser tout ça pour améliorer certaines choses. Et justement, ce soir, j'ai la chance d'accueillir... Mohamed, qui est le ciseau de Poste à Luxembourg. Je l'ai invité parce que Poste à Luxembourg est très loin de simplement distribuer le courrier. C'est même un acteur majeur de la place de Luxembourg. En plus d'être ciseau de Poste, Mohamed est aussi physicien quantique puisque c'était sa formation initiale. Mohamed, est-ce que tu veux bien te présenter ?
Speaker #1
Bonsoir, merci pour la petite présentation déjà et je confirme ce que tu as dit, donc une petite précision pour les physiciens qui écouteraient. Je suis physicien atomique, mais la physique quantique évidemment derrière. On me pose souvent d'ailleurs la question, comment tu parles de la physique pour arriver au niveau de la cybersécurité ? Et tu sais Nicolas, j'ai un livre de chevet qui est l'archiviste de Paul Lequello, donc quelque part... On revient à ces sources et j'ai toujours tendance à dire qu'on dit que l'histoire se répète, mais en fait elle ne se répète pas, par contre elle est faite de plein d'œil. Donc effectivement dans mon parcours, j'ai commencé chez Post en 2022, j'ai travaillé sur tous les concepts de réseau, sur tout ce qui allait devenir le cloud par après, Et depuis 2015, disons à peu près, J'ai monté tout le département de cybersécurité. Il y a toujours eu une volonté, quand j'ai construit des équipes, c'était d'avoir au sein de l'équipe un esprit d'innovation, d'aller un peu au-delà de la routine quotidienne, si je puis la qualifier ainsi. Et par exemple, de faire preuve d'anticipation, de venir avec des sujets qui sont des sujets qu'on va considérer d'avenir. et parmi ces sujets là il y a ce domaine quantique alors je fais toujours une blague je dis que post-Luxembourg vu de l'extérieur on a l'impression qu'elle est antique mais en fait elle est quantique justement je vais le démontrer donc il n'y a effectivement pas que le courrier je te le confirme Nicolas et parmi ces sujets là c'est de se dire finalement avec les ordinateurs quantiques donc je pense que si on peut les expliquer en quelques mots, ce sont des ordinateurs qui utilisent des principes de physique et qui permettent de simplifier la complexité de certains calculs. Pas de tous les calculs, mais de certains calculs. Ce qui veut dire qu'il y a un certain type de calcul dans un ordinateur classique, ce que vous avez aujourd'hui et que vous utilisez tous les jours, il faudrait un temps, on va dire, infini pour... pour résoudre certains problèmes. C'est dû à la complexité du problème lui-même et les ordinateurs quantiques ne fonctionnent pas tout à fait de la même manière. Il y a cette notion de pas que de 1 et de 0, mais de 1, de 0 et de entre les deux, de 1 et 0 à la fois. C'est ce qu'on appelle le principe de superposition. Ça permet, grâce à ces principes physiques, de pouvoir simplifier la complexité de certains problèmes et donc de trouver des résultats en un temps. très très réduits.
Speaker #2
A l'école quand le prof de maths il m'a dit x ça fait 4 J'ai lâché l'affaire x ça fait 4 c'est quoi ce délire ? En fait à l'école ils t'apprennent des trucs qui ne marchent qu'à l'école Ça ne fonctionne que là-bas Dans la vie ça ne marche pas Ok exemple, admettons tu n'as pas de banane Sur ce stock de bananes que tu n'as pas, on t'en retire d'eux. Et on les multiplie par d'autres bananes qui n'existent pas. Et ça, ça fait quelle banane ?
Speaker #1
Donc ça, c'est un petit peu ce que les ordinateurs quantiques nous promettent. Alors, il y a de très très grands avantages avec ça, parce qu'il y a certains problèmes aujourd'hui qui sont très compliqués. à résoudre avec des ordinateurs classiques. Et avec des ordinateurs quantiques, on peut trouver des solutions qui vont s'appliquer par exemple à la chimie, aux structures moléculaires, à la biologie, etc. Donc ça, c'est un petit peu l'avantage. Mais j'allais dire, comme disait Einstein, je crois qu'en parlant de la science ou de la technologie en général, c'est qu'elle ne porte pas en soi de valeur morale, c'est-à-dire on peut les utiliser pour le bien, mais on pourrait les utiliser pour le mal, c'est un peu ce qui s'est passé avec le nucléaire d'ailleurs.
Speaker #0
Ce qu'on pourrait dire aussi sur l'IA, puisqu'aujourd'hui on voit l'usage de l'IA qui est fait de manière totalement parfois irrationnelle, donc ça s'applique aussi je pense à l'IA d'une certaine manière. Mais je te laisse continuer.
Speaker #1
Non mais tu as tout à fait raison, c'est aussi un sujet d'actualité, donc avec toutes les annonces comme MITOS, etc. Mais il n'y a pas que MITOS, c'est juste représentatif d'un mouvement plus global. Oui, on peut faire des choses qui vont améliorer les choses, et puis des choses qui vont utiliser cette technologie pour des objectifs, on va dire, plus douteux. En tout cas, pour l'ordinateur quantique, il y a certains algorithmes, ce qu'on appelle les algorithmes de Shaw. Pour donner cet exemple-là, il y en a d'autres qui ont été améliorées par la suite et qui permettent de pouvoir casser certaines cryptographies qu'on utilise actuellement. Quand je dis qu'on utilise, on l'utilise très largement. Par exemple, quand vous allez utiliser votre application bancaire, quand vous allez sur un site protégé, quand vous allez faire des communications chiffrées, etc. J'expliquerai après, par la suite, un petit peu ce que ça veut dire « casser » quelque part. Ça veut dire que quelqu'un peut intercepter votre communication et pouvoir déchiffrer. C'est sous-entendu qu'il a cette capacité avec les ordinateurs quantiques suffisants. On n'en est pas encore là, soyons très honnêtes. Ça ne veut pas dire qu'il ne faut pas se préparer. Mais il y a encore un autre phénomène, c'est, vous imaginez, une entité, un état, des groupes, qui vont... enregistrer plein de données aujourd'hui, tout simplement. Ils ne peuvent rien en faire, elles sont chiffrées, en se disant, demain, j'aurai la capacité de déchiffrer. C'est ce que les anglophones utilisent, « Harvest no, decrypt later » . Donc, ça veut dire, en fait, que le danger potentiel, il est déjà presque, aujourd'hui, en projection de ce qui pourrait se faire demain. Voilà. Donc, je ne dis pas, encore une fois... Soyons clairs, parce qu'on entend des discours un petit peu catastrophiques, tout chiffrement peut être déchiffré, etc. Il y a certains algorithmes qui sont plus ou moins résistants, on va dire ça comme ça, tout à fait. Donc je reviendrai avec un peu plus de détails par après. Nicolas ?
Speaker #0
Effectivement, on avait déjà discuté dans des épisodes précédents sur les chiffrements post-quantiques. enfin ceux qui ont résiste à l'ordinateur quantique et qui existe déjà aujourd'hui. Donc ça, c'est un sujet hyper intéressant. On l'abordera un petit peu plus tard, je pense, mais qui est, qu'est-ce qu'on doit faire aujourd'hui en tant que responsable de la sécurité des systèmes d'information ? Récemment, l'ANSI a annoncé qu'il ne certifierait plus, à partir de 2030, des systèmes d'information qui ne supporteraient pas, qui n'auraient pas implémenté les chiffrements post-quantiques. Donc on commence, on voit, c'est exactement ce que tu dis, c'est-à-dire que... Ce n'est pas demain matin qu'on va avoir un ordinateur quantique sur notre bureau. Et en plus de ça, ce n'est pas ça qui va faire tourner Excel plus rapidement, malheureusement. Mais en revanche, c'est quand même des choses qui se sont anticipées de plus en plus. Et tu as bien résumé finalement quelle était ta mission aujourd'hui, qui était justement d'anticiper. Et finalement, là-dessus, quelque part, tu as donné raison, puisqu'ils sont déjà en train d'anticiper ce genre de choses. et ce qui est intéressant c'est justement de savoir ce que ce à quoi on doit déjà penser aujourd'hui pour se prévenir de problèmes plus tard. Donc je te laisse continuer. On était sur les chiffrements post-quotiques.
Speaker #1
Oui, alors juste pour compléter ce que tu viens de dire, le pire pour une société, c'est d'être pris au dépourvu, de ne pas être préparé. Peut-être que ce rêve quantique ne se réalisera jamais, dans le sens où il y a deux positions au niveau des physiciens. Il y en a certains qui pensent que la nature même fait en sorte qu'on n'arrivera pas à quelque chose de stable. qui soient scalable par essence, j'allais dire, et d'autres groupes qui pensent que finalement, avec la technologie, on arrivera quand même à arriver avec des ordinateurs qui ont la capacité nécessaire. On verra à qui le temps donnera raison. Toutefois, ce que je voulais dire, c'est qu'au sein d'une entreprise, c'est quand même, en termes de préparation, un sujet complexe parce que ça nécessite d'abord de comprendre... tout son système d'information, quels sont les chiffrements qui sont utilisés, les algorithmes utilisés. Donc, c'est ce qu'on appelle en fait tout simplement un inventaire, ou le CBOB, Cryptographic Bill of Materials. Donc, essayer de comprendre un petit peu tout son environnement. Et puis ensuite, à partir de là, de dire comment je prépare en post-quantique. Et j'expliquerai le post-quantique, qu'est-ce que ça signifie. Ça peut être le post-quantum clue. cryptographie, le PQC, ça peut être aussi du QKD, du Quantum Key Dissolution. Je vous expliquerai la différence entre les deux. Mais en tout cas, c'est un exercice qui est en train de se faire. Les grands players, par exemple, comme Google, Microsoft, etc., sont déjà annoncés, proposent déjà des algorithmes qui sont, disons, post-quantiques. Mais... Dans un système d'information, dans une entreprise, il y a des choses que vous maîtrisez, il y a plein de choses que vous maîtrisez, que vous héritez de fournisseurs, etc. Donc ça veut dire que ça doit être un mouvement global, et ça ne peut pas être juste, on ne peut pas juste couvrir un sous-ensemble du système d'information si le risque menait à se présenter. Donc voilà, c'est un exercice de préparation, je pense qu'il y a beaucoup d'entreprises. L'Europe pousse aussi, donc en fixant un petit peu... ces délais pour avoir un inventaire et puis aussi commencer ce qu'on appelle le processus de mise en place de la crypto-agilité. Crypto-agilité, ça veut dire en fait faire vivre le post-quantum en même temps que la cryptographie, on va dire classique, dans un mouvement de transformation parce que naturellement, ce n'est pas quelque chose qu'on va faire en un mois, c'est quelque chose qui se rafraîche sur le long terme. Donc, comme j'expliquais aussi, il y a deux approches pour, on va dire, répondre à cette problématique. Et vu qu'il y a aussi, dans ceux qui vont nous écouter, il y aura probablement des personnes qui ont un background de physicien, d'autres personnes qui ont un background de mathématicien. Vous savez, il y a toujours ce combat entre les physiciens et les mathématiciens. Je pense qu'il a été encore soulevé avec l'IA récemment, d'ailleurs. J'allais dire, le PQC, c'est une réponse mathématique. Le QKD, c'est une réponse physique. Voilà pour résumer. Donc, le PQC, c'est de venir avec des algorithmes qui sont censés résister un petit peu à la capacité que pourraient apporter les indices interquantiques. Donc c'est une réponse mathématique de chiffrement, on va dire, spécifique. Le QKD, lui, va utiliser des processus physiques, tout simplement. Parce qu'en fait, quand on parle de chiffrement, il faut toujours avoir à la tête qu'on utilise des algorithmes qui sont connus. classiquement par exemple triple DS, RSA enfin ce genre de choses mais il faut une clé et cette clé là, il faut que dans ce qu'on appelle le chiffrement symétrique il faut qu'elle soit la même de chaque côté donc se pose la question c'est comment j'échange cette clé il y a les approches classiques de valise diplomatique mais c'est pas si sécurisé que ça bien sûr Il y a des algorithmes qui ont été inventés pour permettre cet échange de clés. Ces algorithmes-là, classiquement, sont potentiellement cassables avec les ordinateurs quantiques. L'idée, c'est de dire comment on va échanger ces clés-là, mais de telle manière que s'il y a quelqu'un qui interfère, qui va essayer de capturer cet échange-là, physiquement, le système se transforme. On va utiliser des phénomènes physiques. plusieurs méthodologies, il y a plusieurs types de protocoles. Il y a des protocoles qui vont utiliser ce qu'on appelle la polarisation des photons. Il y en a d'autres qui vont utiliser l'intrication, donc qui est vraiment, alors là, pour le coup, vraiment le fondement même de la physique quantique. Voilà. Et donc, voilà. Et je pense, moi, personnellement, qu'il va y avoir une combinaison des deux, du PQC et du... QKD, en sachant qu'aujourd'hui si on regarde au niveau mondial on a les Etats-Unis qui poussent beaucoup le PQC et l'Europe et l'Asie qui ont des approches de QKD. Donc en Europe, il y a le projet Euro QCI qui est en train de se mettre en place dans plusieurs pays européens. En Corée du Sud, ils sont très avancés. Donc eux, pour le coup, ils ont une loi au Parlement qui stipule que la Corée du Sud doit être, on va dire, la première dans ce domaine-là. Ils ont construit un réseau, il y a des institutions qui l'utilisent, etc. D'ailleurs, on pourrait fortement s'en inspirer. Et la Chine qui fait des expériences aussi en mettant un lien physique entre deux villes et l'utilisation aussi d'un satellite. Je précise ça parce que c'est exactement ce qu'on est en train de faire au niveau de Passe-Luxembourg.
Speaker #0
Alors justement, ça c'est quand même quelque chose, parce que là, en l'espace de 16 minutes, 15 minutes, tu as déjà dressé, enfin expliqué pas mal d'éléments assez importants en niveau des avancées en matière de physique quantique et d'application en matière de cybersécurité. Mais ce que tu n'as pas dit, c'est qu'il y a beaucoup de choses qui sont déjà en œuvre. Et ça, c'est quelque chose qui, moi, quand on a discuté, quand on a préparé cette émission, un peu m'a... c'est que quand on parle encore une fois de Post Luxembourg, on ne pense pas que vous avez tout ça en stock et que vous êtes finalement quand même très avancé sur ce genre de choses. Théomitre dit aussi que vous aviez déjà un ordinateur quantique qui était à disposition dans vos data centers, donc qui est un peu, on va dire, un prototype et plutôt quelque chose qui permet de valider certains concepts de base. Mais il y a déjà des choses un peu réalistes, enfin réelles qui existent et qui sont déjà en cours d'application. Donc ça, c'est quand même quelque chose de très intéressant et sur lequel vous travaillez quand même de manière assez active. Donc je te laisse juste continuer, parce que je pense que c'était important de préciser ça pour que tout le monde puisse remettre un petit peu les choses dans leur ordre.
Speaker #1
Ok. Effectivement, je suis advisor dans une association qui vient de s'accueillir qui s'appelle le LQA, le Tsembor Quantum Alliance. et à travers le LQA, on... On a ramené un ordinateur quantique qui peut être mis dans un data center d'une société irlandaise. On l'a ramené pour que les gens le voient physiquement. Toujours intéressant parce que quand on s'imagine l'ordinateur quantique, c'est souvent... Il y a différents types d'ordinateurs quantiques, déjà, précisons, mais on le voit dans un laboratoire, quelque chose d'assez monstreux, d'énorme, etc. Mais là, on voit en fait, quelque part, un rack, le même type de rack que vous voyez dans les data centers, dans lequel, Il y a ce fameux ordinateur quantique. Alors la seule différence, c'est le bruit. C'est le bruit d'un frigo.
Speaker #3
J'aurais dû m'en douter qu'on était une famille bizarre. Vous savez à quoi on voit qu'on est une famille bizarre ? À nos frigos. T'as vu le frigo des gens normaux ? Quand tu regardes leur frigo, déjà quand tu l'ouvres, ils s'ouvrent pas comme ton frigo. Eux, leur frigo, ils s'ouvrent comme les portes du paradis, comme ça. Tu rentres dans le monde de Narnia frère Moi j'ouvre mon frigo, le premier truc sur lequel je tombe c'est une tête de mouton coupé Le mouton il te regarde comme ça T'ouvres le frigo on dirait qu'il va te dire tu veux une glace Attends, c'est pas fini ! A côté de la tête de mouton y'a quoi ? Une bouteille de coca avec de l'eau à l'intérieur ? Avec l'étiquette du coca arraché ? A côté de la bouteille de coca y'a un demi-citron coupé tout sec ? Il est l'heure de la fin ! là au cas où il ya des moustiques dans le frigo à côté du demi citron taquois un tube d'harissa plié en mille ta mère elle veut pas acheter un nouveau elle même le tube il en vitraux après dans la portière en haute à quoi tu as des oeufs à côté des eaux tu as des gouttes pour les yeux Et à côté des gouttes pour les yeux, t'as un vaccin que tu devais faire quand t'avais 4 ans ! Mais attends !
Speaker #1
Parce qu'en fait, il y a un conteneur cryogénique derrière, donc on maintient la température à 3 degrés Kelvin, dans lequel sont plongés un certain nombre de composants, donc c'est un bruit de frigo en fait. Mais le fait de visualiser, c'est toujours intéressant, de ne pas rester dans le théorique, mais de visualiser les choses. Donc ça c'était... une des actions qu'on a entreprises avec la Luxembourg Accountable Alliance. Et maintenant, par rapport à la réalisation, Poste Luxembourg, de l'extérieur, on le voit, fournit de la collectivité, on a déployé des fibres, etc. Et en termes de projection, c'est de se dire, comment on peut utiliser certaines de ces capacités pour pouvoir échanger des clés entre un point A et un point B. Ça, c'était l'idée. Donc il y a eu une construction qui s'est construite dans laquelle se trouve Starion, Hitech. une société aussi canadienne qui s'appelle EvolutionQ. D'ailleurs, je précise EvolutionQ, il y a une des personnes au Canada qui fait partie de tout ce contexte, qui a reçu le prix Turin, puisque c'est lui qui a développé pas mal d'algorithmes, d'algorithmes plutôt de processus, de signalisation utilisés au niveau du QKD. C'est le professeur Brassard, pour ceux qui veulent en chercher. Et donc, qu'est-ce que je voulais dire ? Et tout ça sous l'égide de l'Agence spatiale européenne. Toujours important d'avoir des partenaires extérieurs, que ce soit le ministère de l'Économie ou des organismes européens. Et donc, qu'est-ce qu'on a décidé de faire ? Eh bien, on voulait mettre en place un réseau QKD pour deux raisons. Démontrer que ça peut fonctionner, ça c'est la première chose. La deuxième chose, démontrer que ça peut être opéré. Parce qu'il ne faut jamais oublier qu'il y a une grande différence entre un prototype et quelque chose que l'on peut opérer, c'est-à-dire qui est stable, qui peut fournir des services, etc. Donc l'idée de construire ce prototype, c'est finalement pour avoir quelque chose sur lequel on peut toucher, que l'on peut manipuler, que l'on peut perturber pour voir comment tout ça fonctionne. Et ça, c'est très important. Et donc, qu'est-ce que l'on a décidé ? On a mis un lien physique entre Redu en Belgique et le Vindof, le data center de poste. Alors, ce n'est pas un lien direct. C'est très important de préciser, Nicolas, c'est que malheureusement, les boîtiers qui génèrent... qui sont utilisés pour le QKD, c'est une société qui s'appelle IDQ, il y a des limitations en termes de distance. C'est à peu près aux alentours de 100 km. Et encore, 100 km, ça dépend si la fibre est de bonne qualité. C'est 100 km de fibre, j'entends. Et donc, ça voulait dire qu'il fallait mettre un nœud intermédiaire, qu'on appelle des nœuds sécurisés, entre le Luxembourg et la Belgique, qui se trouvaient à côté de l'autoroute. Donc, si je précise... c'est un prototype, mais se pose la question aussi de chaque nœud intermédiaire doit être ultra sécurisé, parce que sinon, ça n'a pas de sens.
Speaker #0
C'est un point très intéressant que tu donnes là, parce que c'est un peu la mise à l'échelle de quelque chose qui fonctionne dans un labo avec 20 cm de distance et une application industrielle avec des vraies contraintes industrielles de distance, de coût, de sécurité, de rentabilité, etc. Donc ça, je pense que ça fait partie aussi du défi, c'est qu'à un moment donné, il faut se confronter à la réalité et faire en sorte de passer le pas. Et ça, ce n'est pas forcément quelque chose de facile.
Speaker #1
Tout à fait, tout à fait. Et justement, la problématique, c'est que vous avez un certain nombre d'éléments que vous maîtrisez très bien. Par exemple, la connectivité, c'est quelque chose qu'on fait tous les jours. Donc on a des systèmes qui permettent de... par exemple de transporter tout type de paquets, ça, j'allais dire, c'est notre business traditionnel. Par contre, quand on rajoute cette couche au-dessus, il y a d'autres contraintes. C'est les atténuations, la stabilité. Je dis toujours que, comment on appelle ça, qu'il y a un certain nombre de phénomènes que vous pouvez voir que lorsque vous avez mis quelque chose en prototype. exemple, ce nœud-là est à côté de l'autoroute, il y avait des perturbations liées naturellement à la chaleur, mais aussi au mouvement de l'autoroute elle-même. Dans un système de production, vous ne pouvez pas dépendre de trop d'aléas externes, on va dire ça comme ça. Ce réseau-là existe depuis maintenant plusieurs années. Ça, c'est très intéressant de le savoir. Et là, on passe à ce qu'on appelle la phase 2. La deuxième phase, elle est composée de plusieurs choses. La première chose, c'est un satellite. Ce satellite, qui s'appelle Spectre, a été lancé en novembre l'année dernière, par SpaceX d'ailleurs. C'est un satellite de la société Spectral, qui est notre partenaire singapourien. consortium que je n'avais pas cité pour le citer maintenant parce que c'est un composant et un partenaire important. Et donc l'idée c'est de construire un laser, ce qu'on appelle une optical ground station. Donc un laser pas aussi simple que ça parce qu'en fait il y a une coupole, il faut le protéger de l'environnement, il faut que ça soit super stable, etc. Enfin, énormément de contraintes. Cette coupole a été installée chez le partenaire Hitech. et l'ensemble sera installé sur la toiture du data center d'ici quelques mois. Et donc l'idée, c'est quoi ? C'est que lorsque le satellite, il va passer à peu près une fois par jour au-dessus de Luxembourg. Donc ce n'est pas beaucoup. Et je précise, lorsqu'il passe, il faut qu'il fasse nuit et qu'il n'y ait pas de nuages. Donc vous voyez la probabilité.
Speaker #0
En plus... nuit ça arrive toutes les 24h donc ça va, mais il n'y aura pas de nuages à Luxembourg là vous avez quand même un sacré défi je ne vais pas dire on va voir comment ça se passe c'est vrai,
Speaker #1
j'en connais, j'ai lutté pour qu'on le mette au balaiard, mais ça n'a pas été accepté mais bon j'allais dire c'est très intéressant ça fait partie du principe de comment on peut avoir quelque chose qui peut être mis en production Ce sont des contraintes que vous pouvez voir que lorsque vous avez mis les systèmes en place, en prototype, pour voir ce qui marche, ce qui ne marche pas, et puis toutes ces contraintes. Évidemment, l'objectif, ce n'est pas d'avoir qu'un seul satellite, c'est d'avoir une myriade de satellites, mais aujourd'hui, pour valider le principe, un satellite est suffisant. Donc on suppose, il y a eu des calculs qui ont été faits avec Spectral, qu'il y a une certaine probabilité où ça fonctionne, et on va récupérer des clés, les mêmes clés qu'il y aura à Singapour. Voilà. pour résumer. Et ayant les mêmes clés de chaque côté, c'est bon, ça veut dire qu'on peut après utiliser ces clés-là pour n'importe quoi. Et le test qu'on va faire, c'est juste créer un VPN, par exemple, entre le Luxembourg et Singapour. Ça, ça sera l'élément de démonstration. Et cette extension, on va dire, spatiale du lien QKD terrestre, elle est très intéressante parce que elle, pour le coup, un des canaux utilise l'intrication. Ce qui n'est pas le cas aujourd'hui de l'infrastructure terrestre qui utilise un autre type de protocole qui s'appelle COW. Mais tout ça, pourquoi je dis ça ? C'est parce qu'on a soumis un autre projet justement avec l'université, le SNT, pour utiliser des fibres spéciales de très très très haute qualité pour pouvoir utiliser un protocole qui lui utilise l'intrication.
Speaker #0
l'idée c'est d'avoir de l'intrication end-to-end d'accord ça juste sur l'intrication parce que c'est l'air de rien quand même mais c'est un niveau de sécurité supplémentaire finalement puisque si je suis correct dans ce que je dis du moment où on change l'état d'un photon, automatiquement ça perturbe le système et ça casse finalement automatiquement la transmission Ce qui fait une sorte de protection supplémentaire parce que toute attaque du type man in the middle, donc quelqu'un qui écouterait la transmission, casserait automatiquement la transmission et donc perdrait instantanément cette capacité de pouvoir récupérer la clé.
Speaker #1
Tout à fait, ça a été très bien résumé. L'intrication, c'est quelque chose qui est déroutant. Il y a eu de longs débats. parmi les physiciens, dont Einstein en l'occurrence, est bord sur le caractère de ce que c'est que l'intrication. Mais au-delà de ce débat, on va dire, de spécialiste, effectivement c'est, si il y a quelqu'un qui essaye de...
Speaker #0
de se mettre au milieu, il va perturber tout le système. Et quand je dis perturber, ce n'est pas une perturbation d'un algorithme mathématique, non, c'est une perturbation de la nature même des choses. Donc c'est pour ça que je vous ai dit, c'est une réponse physique, vraiment. Et ça, c'est très intéressant, ce qui veut dire, en généralisant le concept, c'est que vous pouvez échanger des clés de manière ultra sécurisée, et après vous pouvez utiliser ces clés-là pour un objectif de communication ou quoi que ce soit. Vous pouvez même utiliser certaines de ces clés-là avec du PQC éventuellement. Il y a beaucoup d'avantages. Alors, il y a des contraintes, parce que quand vous construisez un réseau comme ça, la question que vous devez vous poser, OK, très bien, vous avez ce super réseau, mais comment les clients vont l'utiliser ? Les clients au sens des entreprises, etc. Se pose aussi la question de ce qu'on appelle du last mile, donc entre vous, entre l'opérateur et... et le client. Et là, effectivement, il y a des principes en disant, on va utiliser du PQC ou on va utiliser un réseau overlay au-dessus pour pouvoir échanger les clés, etc. Donc, l'idée générale, en tout cas, dans tout ça, c'est de garder la logique de sécurité. La logique de sécurité, ça ne peut pas être un morceau ultra sécurisé et un autre morceau pas du tout sécurisé. Ça n'a pas de sens. Et ça, ce réseau-là, On espère l'avoir fonctionnelle d'ici la fin de l'année. Et c'est très impressionnant de voir l'OGS, parce que j'imaginais en tout cas que c'était plus petit que ça venait réellement. Donc on peut rentrer dedans. Il y a beaucoup de choses, beaucoup de mécaniques. Il y a beaucoup de... Quand on avait visité, il y avait même une zone de protection, une zone où on ne pouvait pas entrer parce qu'il y avait un champ magnétique important, pour pouvoir déplacer le... Le laser. Et donc, c'est vraiment de la mécanique de précision et puis aussi de l'optique. Vous voyez, le miroir, qui est vraiment... C'est une société belge qui a fait le miroir. Je crois que c'est des sociétés qui sont spécialisées, qui font aussi des grands miroirs pour les grands télescopes européens. Et ceux qui sont, par exemple, en Amérique du Sud. Je crois que c'était au Chili, il me semble, Alma. Et donc, c'est vraiment... vraiment des technologies de pointe. Mais ce qui est très intéressant, c'est qu'on rassemble toutes ces technologies de pointe et puis on fait quelque chose de fonctionnel, de concret. Et ça, c'est super enrichissant. Et comme je vous ai dit, quand je dis vous, toi, Nicolas, et l'ensemble de ceux qui vont nous écouter, l'idée d'avoir quelque chose qui utilise l'attrication end-to-end, eh bien, Ça va nous faire réfléchir aussi sur l'utilisation de fibres spéciales. Il y a des fibres creuses, par exemple. Il y a des fibres aussi de haute qualité qui sont fabriquées en environnement d'apesanteur. Ça, ça permettra de valider un certain nombre de choses. Vous voyez ? Donc, ça veut dire que par effet boule de neige, par effet indirect, on arrive à faire... On va dire qu'on peut améliorer certaines technologies qui sont des technologies classiques, tout simplement le transport d'informations.
Speaker #1
Merci pour ces explications sur la QKD et surtout, comme tu l'as très bien expliqué, comment on le met en œuvre aujourd'hui. Mais il y a quelque chose d'autre qui m'a intrigué dans les discussions qu'on a eues et sur les développements que Post fait actuellement, c'est l'utilisation de la cryptographie homomorphique. Parce que pour moi, la cryptographie homomorphique, c'était entre guillemets un peu un délire de mathématicien et donc n'était pas encore loin d'être mis en œuvre. et donc c'est exactement ce qu'on m'a expliqué c'est que toi tu cherches finalement à prendre des concepts physiques ou mathématiques on va dire plutôt de pointe et essayer de les rendre opérables en vrai, c'est à dire vraiment en faire des outils utilisables jour le jour et donc vous avez passé pas mal de temps et investi de l'énergie sur le chiffrement pardon le chiffre chiffrement homomorphique. Sachant que pour moi, le chiffrement homomorphique, donc tu vas certainement résumer le principe, mais permet quand même de résoudre quelque chose, un problème assez compliqué, qui est que ça permet donc d'appliquer des opérations mathématiques sur des données qui sont chiffrées, c'est-à-dire que l'ordinateur qui fait l'opération mathématique n'a pas la connaissance des données qu'il est en train de traiter. En revanche, la personne qui a la capacité de déchiffrer voit le résultat de l'opération. Et pour moi, ce type d'algorithme est hyper important. Donc tu l'as cité, mais sans le citer vraiment, Diffie-Hellman tout à l'heure, pour la distribution des clés symétriques dans un canal non sécurisé, en utilisant du chiffrement asymétrique. Mais pour moi, cette histoire de chiffrement homomorphique est quand même assez importante, parce que si d'aventure, un jour, on arrive vraiment à le mettre en œuvre, ça va résoudre un problème. qui est aujourd'hui un problème qui est énorme, c'est l'exécution, le traitement des données dans le cloud. Parce que le problème, c'est que la seconde où on fait un traitement dans le cloud, et particulièrement pour du cloud entre guillemets étranger, on fait quand même tourner des opérations à l'extérieur et on ne sait pas si c'est vraiment sécurisé ou pas. parce qu'on peut chiffrer les données, ce qu'on appelle data trace, donc chiffrer les données sur les disques durs, etc. Chiffrer les données en transit, on vient de l'expliquer comment on pouvait le faire justement avec le QKD, etc. Mais par contre, ce qu'on appelle le in motion, c'est-à-dire pendant l'exécution, aujourd'hui, il faut que les données soient en clair pour pouvoir être exécutées. Et ça, fondamentalement, c'est quand même un problème assez important pour moi dans le cloud. Et le chiffrement mammorphique, au même titre que... l'algo de Diffielman qui a permis la possibilité d'utiliser le HTTPS, etc., comme aussi les séries de Fourier qui ont permis de faire beaucoup de choses, y compris le JPEG, entre autres. Ça, pour moi, c'est un des algorithmes qui, le jour où ce sera vraiment mis au point et ça fonctionnera correctement, va un peu révolutionner le game, comme disent les jeunes, mais en matière de cyber pour la partie cloud. parce que ça permettra de régler ce problème. Et vous, donc Poste, et toi particulièrement, Mohamed, vous avez travaillé sur le sujet et vous avez eu certains résultats. Est-ce que tu veux bien nous expliquer ce que tu as fait ?
Speaker #0
C'est très complexe. Tu as bien explicité, on va dire, ce que peut faire le chiffrement numérique, en tout cas les problèmes que cela pourrait résoudre. Je voulais quand même expliquer la genèse, en fait, de pourquoi on a été dans cette direction-là. En fait, c'était venu un moment où on voulait, en fait, faire de la corrélation de données entre deux entités. Donc, une qui était chez nous et une qui était extérieure, externe. Et il y avait toute cette discussion sur est-ce que c'était anonymisé ? Est-ce que c'est pseudonymisé ? Avec des... débats allant plus finir avec des data protection officers mais aussi des juristes et après des régulateurs bon bref, c'était un débat compliqué alors que l'objectif lui-même était juste, on va dire de pouvoir agréger corréler des données qui viennent de deux sources différentes et puis pouvoir en tirer un avantage pour les deux parties d'ailleurs ça c'était un petit peu l'objectif Merci. et alors de ce problème là on s'est dit le vrai problème en fait c'est dire les entités au sens général du terme disent toujours on est ouvert à échanger mais dans la réalité on n'échange pas tant que ça, voilà pour être très clair et donc on s'est posé la problématique en disant comment entre deux entités différentes on peut Merci. extraire de l'information sans forcément échanger les données. C'était la problématique de base. Alors, on n'a pas directement été sur le homomorphique au début. On a commencé par certains principes de base. Par exemple, on va créer ce qu'on appelle une secure appliance. C'est un morceau de software qu'on va mettre chez ses fournisseurs de données. Et cette boîte, elle a la capacité de pouvoir traiter des données, puis pouvoir anonymiser, pseudonymiser, chiffrer, enfin faire plein d'opérations, avant que les données arrivent dans le data lake. Donc quand elles arrivent dans le data lake, normalement on n'aurait pas la capacité à revenir à la personne physique, il y a encore d'autres problèmes qui se posent dans le data lake, mais j'allais dire pour, en tout cas, la sortie. Il y a une certaine confiance, en tout cas, qu'on protège un petit peu ces données. Mais il ne faut pas trop les chambouler, les données, parce qu'au bout d'un moment, au niveau du Data Lake, on ne va pas en faire grand-chose. Il faut trouver le beau trade-off. Et donc, ça, c'était la première chose qu'on avait faite, qu'on a développée. Alors, on s'est beaucoup posé la question, justement, sur la qualité des données. c'est-à-dire qu'il fallait normaliser, il y a plein de problèmes de qualité, parce que, encore une fois, si vous n'avez pas la qualité de tonner, vous ne pouvez pas appliquer correctement les algorithmes d'anonymisation, donc voilà. On a passé quand même des heures et des heures, voire des jours et des semaines, à finituner ce genre de choses. Après, on s'est dit, peut-être que ça ne sert à rien, il ne faut pas mettre de boîte chez le client, on va juste... Fournir en tant qu'opérateur ce qu'on appelle une enclave sécurisée, c'est une sorte de zone dans un serveur que même l'opérateur du système du serveur ne peut pas accéder. Personne ne peut accéder. Il y a des cas en termes de sécurité dans lesquels cette zone pourrait être un peu chamboulée, mais il faudrait être présent physiquement. Mais si le serveur est dans un datacenter de tier 4, ultra sécurisé, le risque physique est déjà limité. Et après, finalement, on a deux players, deux fournisseurs de données, qui vont autoriser un certain nombre d'opérations dans l'enclave sur leurs données. Donc, InMotion, c'est chiffré. Atres, c'est chiffré. Et l'opération mémoire, comme tu l'avais évoqué pour le cloud, reste dans l'enclave. C'est-à-dire que pour l'appareil d'un système, on n'y voit rien. Donc, ça reste dans l'enclave. On l'a fait. On a démontré. On a fait de la correction de données. entre deux fournisseurs de données différents. Le problème de l'enclave sécurisée, c'est les limitations. Les limitations de mémoire, les librairies, elles sont spécifiques à l'enclave, donc il fallait les compiler, il y a toujours du retard par rapport à ça. Quand je disais une différence très productive et quelque chose d'opérable, ça c'est l'exemple typique. Théoriquement, ça fonctionne très bien, mais pour en faire quelque chose opérable tous les jours, c'est beaucoup plus compliqué. Ensuite, on s'est posé la question et j'avais à ce moment-là lancé l'idée de recruter un cryptologue dans l'équipe. Et ce cryptologue, on a dit, essayons de voir ce qu'on peut faire avec l'homomorphique. L'homomorphique, c'est dire, OK, j'envoie les données complètement chiffrées en homomorphique et je fais des opérations sur ces données-là. Alors, il y a des opérations en homomorphique qui sont simples à faire, mais d'autres qui sont carrément compliquées. C'est-à-dire que, et ça c'est les limites du full homomorphique, donc il y a du non full homomorphique, mais en full homomorphique il y a des limitations en termes de type d'opération et du nombre d'opérations cumulées que l'on peut faire. Et ça, on a fait quelques tests, mais c'était problématique, parce que si on est avec des idées par exemple d'analyse statistique sur les données, alors là ça devient compliqué. Rechercher. l'existence de quelque chose dans un caractère chiffré, c'est bon. Donc l'égalité, on va dire. Mais faire des opérations beaucoup plus complexes, c'est beaucoup plus délicat. Et sans compter la capacité de calcul qu'on doit avoir, qui n'est pas non plus négligeable. Donc on s'est dit, comment essayer de trouver une solution qui combine un petit peu tout ça. Et en tenant compte des limitations, ce qu'on a fait, c'est de dire, au lieu d'échanger les données, je vais prendre un cas très simple, j'ai des données IT, télécom, et j'ai des données de transactions bancaires. Et le use case, on va dire, c'est la fraude, l'antifraude. Aujourd'hui, la fraude, elle vit son monde, l'antifraude, et puis la sécurité vit son monde. Et l'idée, c'est de combiner tout ça, parce que dans un monde digital, les premiers signes d'une fraude, vous l'avez déjà au niveau sécurité, avant que ça ne devienne une fraude qui est une conséquence, quelque part, de quelque chose qui s'est passé un peu avant. Et donc, en imaginant que cette banque et que ce fournisseur IT, on va dire, sont deux entités complètement séparées, et on a la chance au niveau du groupe d'avoir une banque et un opérateur télécom, donc, j'allais dire, il n'y a pas cette problématique d'aller chercher, on va dire, quelqu'un d'extérieur. C'est de se dire, on a les données, on va entraîner un modèle local. Donc le modèle est entraîné, les deux modèles locaux sont fournis. Donc le modèle, c'est aussi tous les poids qui vont avec, les paramètres, les poids. Et tout ça est échangé en homomorphique. C'est le modèle et les poids qui sont échangés, pas les données. Les données, elles restent. Et le tiers de confiance, en fait, va utiliser... Ce chiffrement inférieur pour combiner les deux modèles et créer un modèle plus global qui va redonner aux deux fournisseurs de données. une fois combiné. Et une fois que ce modèle est reçu, la date appliquée va faire de l'inférence, c'est-à-dire qu'il va voir les transactions. De l'autre côté, on va voir des choses suspicieuses, des use cases un peu particuliers. Et ce qu'on va tester à la fin de la fin de l'année, c'est que quand on détecte quelque chose d'étrange au niveau IT, télécom, On envoie l'information de manière, ce type de chiffrement, au système d'anti-fraude pour pouvoir, par exemple, retarder une transaction. Et inversement, c'est quelque chose qui est bizarre au niveau de la fraude, de pouvoir remonter au niveau IT, télécom et de pouvoir faire des actions préventives ou réactives, le cas échéant. Donc voilà. Donc c'est... Pourquoi j'expliquais tout ça ? C'est qu'on part toujours d'une problématique, on veut régler un problème, et on regarde un petit peu... Quels sont les moyens pour régler ce problème-là ? Il peut y avoir des moyens complètement séparés, et on arrive dans une branche morte parce que ce n'est pas quelque chose qu'on peut opérer, et à la fin, prendre du recul et se dire, mais finalement, toutes les choses ont des limitations. Mais comment je peux combiner tout ça pour contourner ces limitations ? Par combinaison. C'est un petit peu ce qu'on fait, c'est ce qu'on appelle le Secure Federated Learning, et c'est quelque chose que l'on va... On a fait un premier prototype. juste pour pouvoir, si les modèles se combinent bien, ça, ça a fonctionné. Maintenant, on va aller plus dans une phase en disant, on va l'implémenter comme si on l'implémentait en production. Voilà un petit peu l'idée.
Speaker #1
Super. Alors, juste quand même pour nos éditeurs, parce qu'à la fin, quand tu expliques ça, on a l'impression que c'est simple, mais il ne faut pas oublier quelque chose, c'est que les données sont chiffrées, c'est-à-dire que vous manipulez des données qui sont incompréhensibles, par définition, elles sont chiffrées, donc voilà. et ça donne quand même un résultat à la fin et c'est ça qui est dingue dans cette histoire. Peut-être, tu veux rajouter le mot de la fin Mohamed ?
Speaker #0
Alors, moi je pourrais en parler pendant des heures et des heures, mais le mot de la fin, ça serait plutôt ce que je dis, dans des entreprises parce que pour faire le lien avec ce que tu as dit en introduction, dans beaucoup d'entreprises, il y a ces entreprises traditionnelles comme Poste, c'est une entreprise qui est qui a plus de 100 ans, c'est de se dire comment au sein de cette entreprise, je peux créer ce que j'appelle des bulles, des bulles qui fonctionnent comme des startups. C'est-à-dire, à l'intérieur de cette bulle, je mets les éléments, donc l'expertise, ce que j'appelle les clusters of skills, pour se dire, j'ai un problème, soyons créatifs. Comment je peux régler ce problème-là ? Anticipons, venons avec des nouvelles technologies, testons. Et je vous garantis qu'on l'a fait, par exemple, au niveau Telecom Security, on a réglé un problème, c'est devenu un produit que l'on vend à l'international. On a fait cette idéation aussi pour utiliser le blockchain à l'époque, on parlait beaucoup de blockchain, on a utilisé le blockchain pour l'intégrité, la confidentialité des données, l'authenticité des données plus généralement, et ça a donné un brevet qu'on a eu... quelques semaines, ça a duré 3-4 ans pour le brevet, mais on l'a eu. Et juste le chemin que l'on prend, c'est très important. Le mot que je veux dire, c'est doser. On apprend en faisant les choses. Et ça, dans la vie, c'est très important, et dans une entreprise, ça l'est encore plus parce que ça permet à l'entreprise de se projeter, de venir avec des nouvelles idées, de retenir aussi des talents. Il ne faut pas oublier que ça, c'est aussi quelque chose de très important. Donc,
Speaker #1
oser, Écoute, je te remercie en tout cas, Mo, pour le temps qu'on a partagé ensemble et de nous avoir donné ta vue sur tous ces éléments-là. Je crois qu'effectivement, oser, c'est ce qui caractérise quand même Poste. Et c'est un peu contre-intuitif parce que l'image de Poste à Luxembourg est... et parfois un peu, on va dire, trop humble, parce qu'on associe ça à beaucoup de services de télécom, de courrier, etc. Mais là, tu viens de soulever le voile sur tout ce que vous avez fait derrière, et je pense que c'était super intéressant, parce qu'on est quand même à des millions d'années-lumière d'imaginer que ces choses-là se passent en plein milieu de l'Europe, alors que ça paraît quand même parfois presque la science-fiction, mais ce n'est pas du tout la science-fiction, parce que tu viens d'expliquer que ton rôle, c'est justement de transformer... quelque chose qui paraît totalement illusoire et théorique en des choses très concrètes. Et encore merci d'avoir pris le temps de partager tout ça avec nous.
Speaker #0
Merci Nicolas.
Speaker #1
De rien. Encore une fois, je pense que c'était utile de donner un petit coup de projecteur sur ce que vous faites à Luxembourg. Voilà. Et pour terminer, comme je le dis souvent, pour certaines personnes, la sécurité est un enjeu du vieux de mort. C'est bien plus sérieux que ça.

Embed