Carlos Moreira, PDG et fondateur de SEALSQ – Série d’interviews

Carlos Moreira, PDG et fondateur de SEALSQ, est un vétéran de la cybersécurité et de la confiance numérique avec des décennies d’expérience couvrant les semi‑conducteurs sécurisés, l’identité numérique, les télécommunications et les technologies émergentes. Il est également le fondateur, président et PDG de WISeKey, qu’il a créé en 1999, et il occupe le poste de Secrétaire général de la Fondation OISTE. Au début de sa carrière, Moreira a passé plus de 15 ans à travailler avec les Nations Unies et les organisations internationales connexes sur les télécommunications, la e‑sécurité, le e‑commerce et les réseaux d’information sécurisés. Ses autres projets technologiques comprennent WISeSat.Space et SEALCOIN, tandis que son travail a également inclus des fonctions de conseil et de direction au Forum économique mondial et une participation à la communauté mondiale du MIT Media Lab, où SEALSQ explore la sécurité, la confidentialité, la résilience quantique et l’innovation centrée sur l’humain.

SEALSQ est une société cotée en bourse spécialisée dans les semi‑conducteurs et la cybersécurité, axée sur la sécurisation des appareils connectés et des infrastructures numériques contre les menaces conventionnelles et les menaces quantiques émergentes. Cotée au Nasdaq sous le symbole LAES, l’entreprise développe des microcontrôleurs sécurisés, des éléments sécurisés, des plateformes de sécurité basées sur RISC‑V, des infrastructures à clés publiques (PKI), le provisionnement d’appareils et des technologies d’identité numérique. Son portefeuille post‑quantique en expansion intègre la cryptographie normalisée par le NIST directement dans le silicium, incluant des technologies conçues pour fournir des racines de confiance matérielles pour les appareils IoT, les systèmes automobiles, les infrastructures industrielles, les maisons intelligentes et le edge computing. SEALSQ développe également ses capacités de semi‑conducteurs sur mesure via IC’Alps et élabore une architecture de sécurité intégrée plus large englobant puces sécurisées, identité numérique, communications de confiance, cryptographie post‑quantique et technologies quantiques émergentes.

Vous avez fondé WISeKey en 1999 puis créé SEALSQ comme une société dédiée aux semi‑conducteurs et à la sécurité post‑quantique. Qu’est‑ce qui vous a convaincu que la confiance numérique ne pouvait plus être assurée uniquement par le logiciel et l’infrastructure à clés publiques, et qu’elle devait s’étendre directement au silicium ?

Lorsque j’ai lancé WISeKey, la plupart des défis de confiance numérique étaient centrés sur les identités, les certificats et la sécurisation des communications. Le logiciel et l’infrastructure à clés publiques constituaient la base adéquate, car la plupart des systèmes étaient connectés via des serveurs et des réseaux d’entreprise.

Avec le temps, l’informatique s’est déplacée vers le edge. Aujourd’hui, des milliards d’appareils connectés prennent des décisions de sécurité de façon autonome. Les voitures, les dispositifs médicaux, les contrôleurs industriels et les infrastructures intelligentes doivent tous savoir si le code qu’ils exécutent est authentique et si l’appareil qui communique avec eux est fiable.

Ce niveau de confiance doit commencer avant même le lancement du logiciel. Une racine de confiance matérielle (Hardware Root of Trust) offre une base sécurisée pour l’identité, le stockage des clés et le démarrage sécurisé, ce que le logiciel seul ne peut garantir si la plateforme sous‑jacente a déjà été compromise.

L’informatique quantique a accéléré cette réflexion. L’industrie se prépare à de nouvelles normes cryptographiques alors que les appareils connectés doivent rester en service pendant des décennies. Cela a fait des semi‑conducteurs sécurisés une extension naturelle de notre travail sur la confiance numérique. Nous avons vu une opportunité de réunir identité, cryptographie et matériel afin que la confiance débute à l’intérieur de la puce et se poursuive tout au long du cycle de vie de l’appareil.

Une grande partie du débat post‑quantique se concentre sur les attaques « Harvest Now, Decrypt Later » contre les données stockées. Pourquoi pensez‑vous que la menace la plus urgente concerne plutôt les systèmes physiques connectés tels que les véhicules, les dispositifs médicaux, les équipements industriels et les infrastructures critiques ?

« Harvest Now, Decrypt Later » est une préoccupation réelle, car les informations sensibles volées aujourd’hui pourraient être décryptées à l’avenir lorsque des ordinateurs quantiques à grande échelle seront disponibles.

Parallèlement, les systèmes physiques connectés posent un défi différent. Ces appareils contrôlent des processus du monde réel. Ils font fonctionner des usines, soutiennent les soins de santé, gèrent les transports et contribuent à l’exploitation des infrastructures énergétiques. Beaucoup restent en service pendant quinze ou vingt ans et ne peuvent pas être remplacés ou mis à jour rapidement.

Si ces appareils ne peuvent pas authentifier les mises à jour logicielles, vérifier les commandes ou établir des identités de confiance à l’aide d’une sécurité résistante aux attaques quantiques, les risques opérationnels augmentent avec le temps. Les organisations peuvent constater que le remplacement ou la recertification des systèmes déployés prend beaucoup plus longtemps que la mise à jour d’un logiciel d’entreprise.

Préparer ces systèmes à la transition post‑quantique nécessite une planification plusieurs années à l’avance, car les décisions matérielles prises aujourd’hui resteront pertinentes pendant la prochaine décennie.

On encourage les organisations à inventorier leur cryptographie, mais beaucoup n’ont peut‑être pas d’inventaire complet des puces et systèmes embarqués qui l’utilisent. Comment doivent‑elles identifier quels appareils à long cycle de vie présentent le plus grand risque quantique ?

La première étape consiste à comprendre où la cryptographie est intégrée, non seulement dans le logiciel mais aussi dans le matériel. De nombreuses organisations disposent d’un inventaire raisonnable des serveurs et des applications, mais ont beaucoup moins de visibilité sur les éléments sécurisés, les microcontrôleurs et les systèmes embarqués qui fonctionnent dans l’ensemble de leurs activités.

Je prioriserais les appareils selon trois questions : combien de temps l’appareil restera‑t‑il en service ? Quelle sera la difficulté à le mettre à jour ou à le remplacer ? Quel serait l’impact opérationnel si son identité ou ses communications ne pouvaient plus être fiables ?

Cela attire naturellement l’attention sur des secteurs tels que l’automobile, la santé, l’automatisation industrielle, la défense et les infrastructures critiques, où les équipements fonctionnent souvent pendant de nombreuses années sous des exigences de certification strictes.

Les organisations devraient également travailler en étroite collaboration avec les fournisseurs de semi‑conducteurs et les fabricants d’équipements afin de comprendre quels appareils prennent déjà en charge l’agilité cryptographique et lesquels nécessiteront finalement un remplacement matériel.

Qu’est‑ce qu’une racine de confiance matérielle peut accomplir qu’une mise à jour post‑quantique basée sur le logiciel ne peut pas, notamment lorsqu’un appareil doit s’authentifier, valider le firmware ou rejeter des commandes malveillantes ?

Une racine de confiance matérielle établit la confiance avant que le système d’exploitation et les logiciels d’application ne commencent à s’exécuter. Elle stocke de façon sécurisée les clés cryptographiques, vérifie l’intégrité du firmware lors du démarrage et fournit une identité de confiance qui reste protégée même si les couches logicielles supérieures sont compromises.

Les mises à jour logicielles restent essentielles et les algorithmes post‑quantiques seront bien sûr déployés via le logiciel lorsque cela est approprié. Cependant, le logiciel dépend d’une plateforme de confiance sous‑jacente pour vérifier que ces mises à jour sont authentiques et n’ont pas été modifiées.

Pour les appareils connectés fonctionnant dans des environnements critiques, une identité soutenue par le matériel permet également une authentification sécurisée entre les machines et aide à garantir que les commandes proviennent de sources fiables.

Cette base devient de plus en plus importante à mesure que les systèmes connectés deviennent plus autonomes et restent déployés pendant de nombreuses années.

Le QS7001 de SEALSQ intègre des algorithmes post‑quantiques dans un microcontrôleur sécurisé RISC‑V. Quels défis de performance, de consommation d’énergie, de mémoire et d’interopérabilité apparaissent lorsqu’on transfère la cryptographie post‑quantique du logiciel vers du matériel contraint ?

Les algorithmes post‑quantiques nécessitent généralement plus de mémoire, davantage de ressources de calcul et des techniques d’optimisation différentes de la cryptographie à clés publiques traditionnelle. Ces contraintes sont particulièrement importantes dans les appareils embarqués où la consommation d’énergie, la surface silicium et la capacité de traitement sont limitées.

Le QS7001 répond à ces exigences en tant que microcontrôleur sécurisé RISC‑V 32 bits doté d’une racine de confiance matérielle et d’une accélération cryptographique. Il intègre le ML‑KEM normalisé par le NIST pour l’établissement de clés et le ML‑DSA pour les signatures numériques. Le fait de garder les opérations sensibles et les clés privées à l’intérieur de la zone matérielle protégée renforce la résistance à l’extraction de clés, à l’analyse par canaux auxiliaires et aux attaques par injection de fautes, tandis que l’accélération dédiée réduit la charge du processeur principal.

La gestion de la mémoire est également cruciale car le ML‑KEM et le ML‑DSA utilisent des clés et des structures de données intermédiaires plus volumineuses que l’ECC. Optimiser le matériel, le firmware et la mémoire sécurisée permet de maîtriser les déplacements de données, l’utilisation maximale de la mémoire et la consommation d’énergie, notamment pour les appareils alimentés par batterie ou connectés de façon intermittente. Les chiffres exacts de latence, de mémoire et d’énergie dépendent du jeu de paramètres de sécurité et du profil d’application, et doivent être fournis à partir de silicium validé dans des conditions de test définies.

L’interopérabilité est importante car la cryptographie classique et la cryptographie post‑quantique coexisteront pendant des années. Le QS7001 prend en charge une voie de migration compatible avec les PKI et les protocoles actuels tout en ajoutant un établissement de clés résistant au quantum, des signatures, un démarrage sécurisé et une vérification du firmware. L’agilité cryptographique et les mises à jour de firmware authentifiées permettent aux implémentations d’évoluer sans remplacer la racine de confiance matérielle.

Les normes post‑quantiques et les guides d’implémentation continueront d’évoluer. Comment les fabricants peuvent‑ils intégrer l’agilité cryptographique dans des appareils censés rester opérationnels pendant 10 à 20 ans sans créer de nouvelles vulnérabilités ou nécessiter le remplacement du matériel ?

L’agilité cryptographique doit être conçue dans l’architecture dès le départ. Les fabricants ont besoin d’un matériel sécurisé capable de prendre en charge des mises à jour authentifiées, plusieurs algorithmes et une migration contrôlée à mesure que les normes mûrissent.

Cela ne signifie pas que chaque évolution future puisse être résolue uniquement par le logiciel. Le matériel doit toujours disposer d’une capacité de traitement suffisante, d’une gestion sécurisée des clés et d’une architecture conçue pour une évolution à long terme.

L’objectif est de réduire au minimum les situations où le remplacement du matériel physique devient nécessaire, tout en maintenant une sécurité forte tout au long du cycle de vie du produit.

Les organismes de normalisation continueront à affiner leurs recommandations au fil du temps, de sorte que la flexibilité combinée à la confiance basée sur le matériel offre aux fabricants la meilleure opportunité de s’adapter de manière responsable.

Des millions d’appareils connectés potentiellement vulnérables ont déjà été déployés. Où les approches de modernisation telles que les modules de plateforme sécurisée, les passerelles sécurisées, les mises à jour de firmware ou les protections au niveau du réseau peuvent‑elles aider, et quand le remplacement du matériel sous‑jacent sera‑t‑il inévitable ?

Il n’existe pas de réponse unique, car les appareils déployés varient largement.

Les mises à jour de firmware peuvent corriger de nombreuses vulnérabilités logicielles lorsque les appareils disposent déjà d’un mécanisme de mise à jour fiable. Les passerelles sécurisées et les protections au niveau du réseau peuvent également réduire l’exposition des systèmes hérités qui ne peuvent pas facilement prendre en charge la cryptographie moderne.

Les modules de plateforme sécurisée et les éléments sécurisés externes peuvent prolonger la durée de vie utile de certains équipements lorsque l’intégration est pratique.

Il y aura également des cas où le matériel d’origine ne possède tout simplement pas la capacité de traitement, le stockage sécurisé ou le support architectural nécessaires à la sécurité post‑quantique. Dans ces situations, le remplacement fait partie de la stratégie de modernisation à long terme, notamment pour les systèmes qui doivent rester opérationnels pendant une décennie supplémentaire ou plus.

L’acquisition et l’intégration d’IC’Alps ont ajouté des capacités de conception de circuits intégrés spécifiques à l’application sur mesure dans les marchés automobile, santé, industriel et Internet des objets. En quoi la conception de la sécurité dans une puce personnalisée dès le départ modifie‑t‑elle le processus de développement comparé à l’ajout ultérieur d’un composant de sécurité séparé ?

La sécurité devient une exigence de conception plutôt qu’une tâche d’intégration.

Lorsque la sécurité est prise en compte dès les premières étapes du développement d’un ASIC, les ingénieurs peuvent optimiser conjointement l’architecture, la mémoire, la consommation d’énergie et les protections physiques, plutôt que d’adapter un design existant ultérieurement. Cela conduit généralement à de meilleures performances, une résilience plus forte et un processus de certification plus efficace.

Notre intégration d’IC’Alps nous permet de travailler avec les clients beaucoup plus tôt dans le cycle de développement et d’intégrer la sécurité post‑quantique directement dans le silicium sur mesure pour des applications exigeantes dans les domaines automobile, santé, systèmes industriels et IoT.

Cette approche offre également aux fabricants un meilleur contrôle sur les feuilles de route produit à long terme, car la sécurité devient partie intégrante de la fondation de la puce plutôt qu’un composant externe ajouté ultérieurement.

Grâce au travail de SEALSQ avec le MIT Media Lab, vous explorez la confiance dans l’interaction humain‑IA et les systèmes de prochaine génération. À mesure que l’IA s’intègre aux véhicules, robots, équipements industriels et dispositifs autonomes, comment l’identité et l’attestation basées sur le matériel doivent‑elles être utilisées pour vérifier quelles machines et quels agents IA sont dignes de confiance ?

Lorsque l’IA s’insère dans les systèmes physiques, la confiance devient aussi importante que l’intelligence. Les organisations auront besoin de la certitude qu’un système d’IA exécute un logiciel autorisé sur un matériel authentique et communique avec des appareils vérifiés. L’identité et l’attestation basées sur le matériel offrent cette base en démontrant qu’un appareil est authentique et que son firmware n’a pas été modifié.

Le travail de SEALSQ avec le MIT Media Lab explore ces questions à l’intersection de la sécurité, de la confidentialité, de la résilience quantique et de l’innovation centrée sur l’humain. La collaboration dépasse le cadre d’un produit unique pour envisager l’avenir de la confiance numérique et de l’interaction humain‑IA, en reconnaissant qu’une IA fiable nécessite également un comportement compréhensible, une gouvernance et une responsabilité claire.

En pratique, chaque machine peut recevoir une identité unique dont les clés privées restent à l’intérieur d’une racine de confiance résistante à la falsification. Elle peut alors présenter des preuves signées concernant son état de démarrage sécurisé, son firmware, sa configuration logicielle et, le cas échéant, son modèle IA approuvé ou son environnement d’exécution d’agent. Un vérificateur peut utiliser ces preuves pour décider d’accorder l’accès, d’accepter une commande ou de placer la machine en mode de fonctionnement sécurisé.

Le même principe s’applique aux agents IA. Un agent doit disposer d’un justificatif vérifiable lié à un opérateur responsable, à un rôle défini et à des permissions limitées. Les commandes doivent être signées, limitées dans le temps et auditables, avec des contrôles de politique ou une autorisation humaine pour les actions à fort impact. Notre preuve de concept WISeRobot illustre cette orientation en combinant identité sécurisée, communications protégées et interaction fiable machine‑à‑machine.

À quoi ressemblerait une préparation post‑quantique significative au cours des trois à cinq prochaines années, et quelles actions les fabricants d’appareils, les opérateurs d’infrastructures, les régulateurs et les acheteurs d’entreprise devraient‑ils commencer à entreprendre dès maintenant ?

Une préparation significative signifie passer de la sensibilisation à la mise en œuvre.

Les fabricants devraient commencer à concevoir de nouveaux produits en tenant compte de la sécurité post‑quantique et de l’agilité cryptographique, plutôt que de supposer que le matériel pourra toujours être mis à jour ultérieurement.

Les opérateurs d’infrastructures devraient identifier les actifs à longue durée de vie, comprendre où la cryptographie est intégrée et élaborer des plans de migration réalistes en fonction des priorités opérationnelles.

Les régulateurs peuvent continuer à soutenir les normes communes et à encourager la planification à long terme, notamment pour les secteurs où la sécurité publique et les services critiques dépendent des appareils connectés.

Les acheteurs d’entreprise devraient commencer à poser aux fournisseurs des questions pratiques sur la préparation post‑quantique, les racines de confiance matérielles et le support à long terme. Les décisions d’achat prises aujourd’hui influenceront la sécurité pendant de nombreuses années.

La transition vers la sécurité post‑quantique prendra du temps. Les organisations qui commencent à se préparer dès maintenant bénéficieront d’une plus grande flexibilité, d’un risque opérationnel moindre et d’une trajectoire plus gérable à mesure que les normes et les déploiements mûriront.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter SEALSQ.