Après Ledger, nos entreprises ne peuvent plus sous-traiter leur confiance à un seul boîtier

# Après Ledger, nos entreprises ne peuvent plus sous-traiter leur confiance à un seul boîtier

Il y a des incidents qui font mal, et d'autres qui font réfléchir. La compromission de Ledger appartient à la seconde catégorie. Non pas parce que l'entreprise française n'aurait pas su gérer la crise — le débat reste ouvert — mais parce qu'elle révèle, crûment, une contradiction que beaucoup de DSI et de RSSI ont préféré ignorer ces dernières années : on ne peut pas prétendre maîtriser sa chaîne de confiance cryptographique en concentrant tout sur un seul fournisseur, aussi européen soit-il.

Je vais être direct : cet article n'est pas un procès fait à Ledger. Ce serait trop simple et, surtout, à côté du sujet. L'incident est un révélateur, pas la cause. La vraie question que je pose ici, à mes collègues DSI, CTO et RSSI d'ETI et de PME européennes, est celle-ci : qu'est-ce que votre organisation sait faire, concrètement, pour gérer ses clés cryptographiques matérielles sans dépendre d'un acteur unique, d'un canal unique, d'une surface d'attaque unique ? Si la réponse prend plus de dix secondes à formuler, nous avons un problème de gouvernance, pas un problème de produit.

La confiance n'est pas un composant, c'est une architecture

Pendant longtemps, nous avons traité les portefeuilles matériels — Hardware Security Modules, wallets crypto, clés de signature — comme des composants plug-and-play. On commande, on déploie, on fait confiance à la certification. Cette logique est compréhensible dans un monde où les menaces restaient théoriques pour la plupart des organisations. Ce monde n'existe plus.

La compromission d'un acteur de référence dans ce segment repose une évidence que la sécurité des SI enseigne depuis des décennies : la confiance se distribue, elle ne se délègue pas. Un RSSI qui remet la totalité de sa gestion des clés entre les mains d'un seul fournisseur matériel ne gère pas la confiance, il la sous-traite. C'est une position confortable administrativement. C'est une position fragile opérationnellement.

Ce que l'incident Ledger change, c'est l'horizon de plausibilité. Il déplace le risque du registre théorique vers le registre opérationnel. Et il force les organisations à répondre à des questions qu'elles avaient différées : qui, dans mon équipe, comprend réellement ce qui se passe à l'intérieur d'un HSM ? Qui est capable d'évaluer une alternative ? Qui peut mener un audit de la chaîne de confiance sans s'appuyer uniquement sur les certifications du fournisseur ?

Ce que cela révèle côté RH et gouvernance

Soyons honnêtes sur ce point : la plupart des PME et ETI européennes n'ont pas ces compétences en interne. Elles ont des administrateurs systèmes compétents, parfois des ingénieurs sécurité de bon niveau, mais la cryptographie appliquée — comprendre, comparer et exploiter des dispositifs matériels de gestion de clés — reste un domaine rare, sous-valorisé dans les fiches de poste et souvent externalisé par défaut vers des intégrateurs qui eux-mêmes s'appuient sur les documentations fournisseurs.

C'est ici que l'impact organisationnel devient stratégique. Non pas parce qu'il faut recruter demain un cryptographe à temps plein — peu d'organisations en ont les moyens ni le besoin permanent — mais parce que l'absence totale de compétence interne sur ce sujet crée une dépendance structurelle. Vous ne pouvez pas challenger votre fournisseur si vous n'êtes pas en mesure de lire sa documentation technique. Vous ne pouvez pas piloter une migration si votre seule référence est le discours commercial de l'acteur sortant.

La réponse organisationnelle à ce type de crise passe, avant toute décision d'achat, par un investissement dans la compétence interne de décodage. Former un ou deux profils techniques à la cryptographie matérielle — pas nécessairement pour coder, mais pour lire, évaluer, auditer — est une décision de gouvernance, pas une dépense IT. C'est la condition pour que votre organisation soit en position de décider plutôt que de subir.

La diversification n'est pas la redondance

Un mot sur la tentation de la réponse facile : doubler le fournisseur. Prendre Ledger et un concurrent, comme on prendrait deux opérateurs télécom pour éviter une panne. Ce raisonnement est séduisant et largement insuffisant.

La diversification des portefeuilles matériels de confiance n'est pas une question de redondance commerciale, c'est une question d'architecture de sécurité. Cela suppose de réfléchir à la séparation des usages — quelles clés pour quels processus, avec quels niveaux de criticité — et d'affecter des dispositifs différents à des périmètres différents selon une logique de risque, pas une logique d'approvisionnement.

Cela suppose aussi de documenter les processus de rotation et de révocation de manière à ce qu'une compromission chez un fournisseur ne paralyse pas l'ensemble du système. C'est un travail de conception, pas de catalogage. Et ce travail, là encore, nécessite une compétence interne qui soit capable de le mener — ou au minimum de le valider et de l'assumer.

Il existe aujourd'hui des acteurs européens — je pense notamment à Nitrokey, l'entreprise allemande, dont l'approche open hardware offre une lisibilité technique que les solutions fermées ne permettent pas — qui proposent des alternatives sérieuses et auditables. Mais choisir Nitrokey sans avoir réfléchi à l'architecture de confiance globale ne résout rien. Ce n'est pas l'étiquette du fabricant qui sécurise un système, c'est la cohérence de sa gouvernance.

Ce que nous devons exiger de nous-mêmes

Je terminerai par ce point, parce qu'il me semble être le plus souvent esquivé dans les post-mortems d'incidents de ce type : la dépendance à un seul fournisseur de confiance matérielle est presque toujours le résultat d'une décision implicite, jamais formalisée. On n'a pas choisi de tout mettre dans un seul panier. On a simplement évité de choisir autrement.

Cette décision par défaut est celle que les organisations européennes doivent maintenant réexaminer explicitement, en comité de direction, pas seulement en réunion technique. Parce que la gestion des clés cryptographiques est devenue, qu'on le veuille ou non, un enjeu de continuité d'activité, de conformité réglementaire et de souveraineté opérationnelle.

Le bon moment pour structurer sa gouvernance des portefeuilles matériels de confiance, c'était avant l'incident. Le second meilleur moment, c'est maintenant. Et la première étape n'est pas d'aller chercher un nouveau fournisseur — c'est de se demander franchement qui, dans votre organisation, est en mesure de mener ce chantier sans se laisser dicter sa feuille de route par un commercial.