IDEMIA Secure Transactions obtient la première certification EMVCo pour une plateforme de cartes post-quantique
IDEMIA Secure Transactions affirme que sa plateforme Java Card, dotée d’un accélérateur PQC matériel et de la bibliothèque ML-KEM/ML-DSA, est la première du genre certifiée EMVCo.
Cette page a été traduite depuis l'anglais. Les noms d'entreprises et de produits ainsi que les liens vers les sources restent inchangés. Lire l'original en anglais
IDEMIA Secure Transactions (IST), la division paiement et connectivité d’IDEMIA Group, affirme être devenue la première entreprise à obtenir la certification EMVCo pour une plateforme de cartes de paiement donnant aux applications de la carte accès à la cryptographie post-quantique et à des services de crypto-agilité. L’entreprise a annoncé la certification le 29 octobre et la présente comme un moyen pour les banques d’émettre dès maintenant des cartes capables de s’adapter à l’arrivée de normes de paiement résistantes au quantique.
Ce qui a été annoncé
EMVCo est l’organisme mondial qui fixe les normes des paiements par carte sécurisés et interopérables. Selon IST, le produit certifié est une plateforme Java Card fonctionnant sur une puce sécurisée conçue par IST elle-même, dotée d’un accélérateur post-quantique matériel dédié. En plus des algorithmes cryptographiques actuels, la plateforme donne aux applications accès à la bibliothèque IDEMIA Sphere PQC, optimisée pour les ressources limitées d’une carte de paiement, ainsi qu’à des services de crypto-agilité permettant aux mécanismes de sécurité de la carte d’évoluer avec les normes, les menaces et la réglementation.
IST précise que la bibliothèque prend en charge les algorithmes normalisés par le NIST ML-KEM, pour l’établissement de clés, et ML-DSA, pour les signatures numériques. La plateforme exécute sans modification les applications de paiement EMV existantes, et l’entreprise affirme qu’elle prépare le terrain à des paiements hors ligne résistants au quantique. La même carte peut aussi héberger d’autres services sécurisés, comme l’authentification FIDO, des identifiants d’identité numérique ou des programmes de fidélité, chargés à l’émission ou plus tard.
Les détails techniques
Les cartes sont un terrain difficile pour déployer une nouvelle cryptographie. IST souligne que, contrairement aux systèmes informatiques gérés de manière centralisée, les cartes restent en circulation plusieurs années sur un matériel très contraint et doivent fonctionner avec un parc vaste et hétérogène de terminaux de paiement. Quantum Computing Report relève que les schémas fondés sur les réseaux euclidiens utilisent des clés et des signatures bien plus grandes que RSA ou la cryptographie sur courbes elliptiques, ce qui pèse sur les délais des transactions sans contact ; confier les calculs lourds à un accélérateur matériel est la réponse d’IST à cette contrainte.
La page de la bibliothèque d’IDEMIA énumère les signatures ML-DSA, SLH-DSA et LMS et l’accord de clés ML-KEM, avec une version embarquée durcie contre les attaques par canaux auxiliaires et par injection de fautes, et indique que de futures normes comme FN-DSA et HQC seront ajoutées.
Pourquoi c’est important
« La sécurité post-quantique n’est pas un défi que les banques peuvent se permettre de traiter seulement lorsque les ordinateurs quantiques seront capables de casser la cryptographie actuelle », a déclaré Marc Bertin, CTO d’IDEMIA Secure Transactions. Comme une carte émise aujourd’hui peut encore se trouver dans un portefeuille dans plusieurs années, les émetteurs qui veulent des options résistantes au quantique doivent mettre le matériel en circulation avant que les réseaux de paiement ne changent d’algorithmes.
À surveiller
La certification couvre la plateforme de la carte, pas une norme de paiement post-quantique : les véritables transactions fondées sur la PQC dépendront de la manière dont les réseaux de cartes mettront à jour leurs spécifications et de la capacité des terminaux à traiter des charges cryptographiques plus lourdes sans ralentir le paiement sans contact. Les déploiements par les émetteurs seront le prochain signal.
Sources
Les informations de cette page proviennent des sources ci-dessous, collectées par DesignQuantum.
- IDEMIA Secure Transactions Enables Banks to Prepare Cards for the Quantum Era with Industry-First Certification (IDEMIA) idemia.com
- Quantum-ready cryptographic libraries (IDEMIA) idemia.com
- IDEMIA Secure Transactions Achieves Industry-First EMVCo Certification for Post-Quantum Payment Cards (Quantum Computing Report) quantumcomputingreport.com