Cloudflare a annoncé la prise en charge expérimentale d’un nouveau mécanisme protégeant les tunnels IPsec contre les attaques de rétrogradation vers des algorithmes traditionnels, une catégorie d’attaques qui pourrait permettre à un attaquant disposant d’un ordinateur quantique de déchiffrer la communication entre deux points prenant initialement en charge le chiffrement post-quantique. L’entreprise a développé ce mécanisme en collaboration avec l’équipe IPSECME de l’IETF, en vue de sa transformation en norme RFC.
La protection cible une extension du protocole IKEv2 appelée IKE_SA_INIT_FULL_TRANSCRIPT_AUTH. Cette extension corrige une faiblesse de conception d’IPsec qui permet à chaque partie de signer uniquement ses messages sortants, au lieu de signer l’intégralité de l’enregistrement de la négociation. En conséquence, un attaquant contrôlant le chemin de communication peut créer ce qui ressemble à « deux visions distinctes » de la conversation : l’une vue par le client et l’autre par la partie opposée.
Comment le risque de rétrogradation apparaît-il ?
IKEv2 permet de négocier l’utilisation d’un échange de clés post-quantique, tel que ML-KEM, tout en conservant la prise en charge du chiffrement traditionnel afin d’assurer la compatibilité avec les appareils qui n’ont pas encore été mis à jour. Un attaquant intercepteur peut modifier les messages de négociation de sorte qu’une des parties pense que l’autre ne prend pas en charge le chiffrement post-quantique, ce qui entraîne la sélection d’un échange Diffie-Hellman traditionnel.
Dans le scénario quantique, l’attaquant peut utiliser sa capacité à casser l’échange Diffie-Hellman pour récupérer la clé de chiffrement des messages ultérieurs de la négociation. La source décrit l’attaque comme relativement difficile, car elle exige d’effectuer le calcul quantique pendant la négociation, et non hors ligne comme dans les attaques « récolter maintenant, déchiffrer plus tard ». Cloudflare estime néanmoins que l’accélération des estimations des ressources nécessaires aux attaques quantiques justifie une préparation précoce, et ces préoccupations l’ont poussée à avancer à 2029 la date de sa transition.
Que change l’extension ?
L’extension ajoute l’authentification de l’intégralité de l’enregistrement de la négociation. Les deux parties annoncent qu’elles la prennent en charge au moyen d’un message de notification envoyé sans condition pendant l’échange initial. Si l’une des parties voit la notification de prise en charge, elle adopte la nouvelle logique d’authentification et attend de l’autre partie qu’elle signe le même enregistrement.
L’envoi sans condition de la notification empêche certaines tentatives de suppression en cours de route. Si l’attaquant supprime la notification d’un seul côté, les deux parties utiliseront des logiques de signature différentes, ce qui entraînera l’échec de l’authentification. En revanche, s’il supprime la notification des deux côtés, les deux parties reviendront à l’ancienne logique, mais la réussite de l’attaque exigera alors que l’attaquant falsifie les signatures des deux parties, et non celle d’une seule partie.
Disponibilité et limites pratiques
Cloudflare a déployé la prise en charge expérimentale dans Cloudflare WAN et Magic Transit, et les clients peuvent demander son activation auprès de leurs équipes de gestion de compte en utilisant le drapeau ipsec_downgrade_protection. Dans une description ultérieure du mécanisme d’activation, l’entreprise indique que la fonctionnalité est soumise à un drapeau propre à chaque compte et qu’elle étendra l’activation à tous les clients après la fin des tests expérimentaux.
L’extension nécessite la prise en charge des deux parties pour être efficace, et Cloudflare a donc maintenu une activation facultative en prévision de clients ou d’implémentations IKEv2 qui ne traiteraient pas correctement la nouvelle notification du protocole. L’annonce ne constitue donc pas une solution immédiate pour tous les tunnels IPsec, mais une étape de transition dépendant de l’adoption de l’extension par le reste de l’écosystème IPsec et de la poursuite de son parcours au sein de l’IETF.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution montre que la transition vers le chiffrement post-quantique ne se limite pas à l’ajout de nouveaux algorithmes tels que ML-KEM ou ML-DSA ; les mécanismes de négociation et d’authentification eux-mêmes peuvent permettre de contourner cette protection si les parties ne prouvent pas qu’elles ont vu la même négociation. Pour les organisations qui utilisent IPsec pour l’interconnexion réseau ou la protection des infrastructures, le suivi de la prise en charge de l’extension chez les fournisseurs de services et les équipements périphériques devient un élément de la planification de la transition post-quantique, tandis que la date à laquelle une attaque quantique sera effectivement réalisable reste indéterminée.