Northwind Traders tient à jour une fiche d’inventaire pour chaque usage cryptographique protégeant une frontière métier ; chaque fiche désigne un responsable système chargé de son plan de migration. La fiche intègre des informations sur le protocole, l’algorithme, le certificat, la bibliothèque et le propriétaire, puis génère une cartographie des dépendances vulnérables à l’informatique quantique — prête à servir de base à la prise de décision — plutôt qu’une simple liste de certificats. La menace visée est celle de la collecte de données (stratégie dite « collecter maintenant, déchiffrer plus tard ») portant sur les échanges clients, les paiements et les flux administratifs ; ces données sont actuellement protégées par une cryptographie à clé publique qu’un futur ordinateur quantique doté de capacités de cryptanalyse suffisantes pourrait compromettre.
Les chemins critiques de Northwind traversent plusieurs frontières de confiance. La vitrine publique et l’application mobile communiquent avec EdgeGW ; EdgeGW s’authentifie auprès de Orders via TLS mutuel ; AuthN signe les jetons JWT acceptés par le portail d’administration et les API ; PayBridge communique avec un prestataire de paiement ; et le pipeline CI/CD signe les artefacts déployables. Les autorités de certification d’entreprise et publiques établissent des racines de confiance distinctes. Un auditeur découvrant un certificat RSA-2048 à une frontière du système ne peut pas encore déterminer si cette même primitive sert également à signer des versions logicielles, à authentifier des services ou à valider des jetons d’accès.
L’architecture rend visible la frontière de collecte avant même que nous n’y associions des fiches d’inventaire :
Ce schéma illustre les limites d’un simple inventaire de certificats : TLS, mTLS, la vérification de JWT et la vérification de paquets confèrent à la cryptographie à clé publique des rôles protocolaires distincts, gérés par des responsables différents.
Comme une même clé RSA-2048 peut remplir différentes fonctions, Northwind enregistre un usage cryptographique comme un algorithme opérant à une fin précise au sein d’une limite donnée. Un certificat serveur TLS, un échange de clés ECDH et une signature JWT constituent des usages distincts, même lorsqu’ils sont exposés par un seul et même produit. Cette distinction est importante car l’établissement de clés hybrides peut réduire les risques liés à la confidentialité dans un flux TLS pris en charge, alors qu’une signature JWT inchangée reste falsifiable dans le modèle de menace quantique.
Chaque enregistrement consigne les éléments nécessaires pour prendre ultérieurement une décision de remplacement :
Les champs requis permettent de distinguer la phase de découverte de celle de prise de décision. L’analyse des suites de chiffrement révèle une exposition liée à ECDH, mais la version de la bibliothèque et le processus de mise à jour déterminent si EdgeGW peut adopter une implémentation hybride. Un enregistrement de signature doit préciser les emplacements des vérificateurs, car modifier le signataire sans mettre à jour le portail d’administration, la passerelle API et le vérificateur de déploiement rompt la chaîne de confiance. La comparaison ci-dessous met en évidence les détails manquants qui empêchent souvent des inventaires par ailleurs précis de servir de feuilles de route :
Ce tableau montre que la découverte des algorithmes est nécessaire mais insuffisante : la propriété, la portée des vérificateurs et la version du produit déterminent si un remplacement standardisé peut réellement être déployé.
Règle de décision Un enregistrement dépourvu d’objectif et de propriétaire décrit un artefact, et non une dépendance cryptographique migrable.
Une fois le schéma établi, Northwind commence par les frontières véhiculant des données sensibles à longue durée de vie ou imposant des décisions critiques en matière d’intégrité. client→EdgeGW couvre le TLS externe ; EdgeGW→Orders couvre le mTLS interne ; AuthN couvre la signature JWT et tous les vérificateurs ; PayBridge couvre une dépendance tierce ; et la CI/CD couvre la signature des artefacts. L’inventaire doit consigner ECDH séparément d’AES, car AES peut rester approprié alors que l’établissement de clés ECDH nécessite un remplacement ou une transition hybride.
Quelle entrée nécessite à la fois une migration du signataire et un inventaire des vérificateurs distribués : l’enregistrement de signature JWT AuthN ou l’enregistrement mTLS EdgeGW→Orders ?
L’inventaire renseigné utilise des enregistrements fondés sur des preuves pour huit constatations concernant Northwind et regroupe les résultats selon l’exposition à RSA-2048, ECDH et ECDSA P-256 :