Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

VENAFI : Quatre erreurs représentant un fléau pour les administrateurs de PKI

novembre 2019 par Kevin Bocek, vice-président du département de sécurité et d’analyse des menaces de Venafi

En raison du besoin croissant de chiffrement du trafic réseau visant à renforcer la sécurité, les administrateurs de PKI sont soumis à de fortes pressions. Dans la plupart des entreprises, de très petites équipes d’experts en PKI gèrent des milliers de clés et de certificats TLS, et la moindre erreur peut avoir des répercussions désastreuses. En l’absence de la technologie adéquate et sans avoir mis en place les processus nécessaires, le volume considérable de changements influant sur ces actifs de sécurité stratégiques faisant office d’identités de machine peut facilement submerger les administrateurs les plus qualifiés.

« Vous ne pouvez pas travailler sur le cloud, utiliser Kubernetes, ni déployer de flottes IdO sans disposer d’un KPI. Cependant, pour la plupart des professionnels de l’informatique, les identités de machine représentent une technologie obscure à la portée de quelques experts », explique Kevin Bocek, vice-président du département de sécurité et d’analyse des menaces de Venafi, entreprise leader de la protection des identités de machine. « Les RSSI ne peuvent pas abandonner les programmes IAM au hasard ; c’est pourquoi le PKI doit être exploité en toute sécurité. En définitive, il doit constituer le fondement des programmes de protection des identités de machine robustes utilisés par les sociétés pour identifier et autoriser le flux des données destinées aux machines approuvées. »

Selon Kevin Bocek, on compte quatre erreurs fréquemment commises par les entreprises susceptibles d’accroître les risques de sécurité et d’avoir des répercussions négatives sur la fiabilité et la disponibilité des ressources réseau stratégiques. À savoir :

1. Oublier les autorités de certification privées internes et intermédiaires
Si la signature racine de la CA (autorité de certification) d’une entreprise devient indisponible pour un motif quelconque, les administrateurs doivent savoir où elle se trouve. Il est déjà arrivé que des entreprises aient configuré une CA racine sur une machine virtuelle autorisée à entrer en veille. Lorsque les équipes d’exploitation informatique s’emploient à nettoyer les machines virtuelles dormantes, elles désactivent par inadvertance l’ensemble du PKI en supprimant la machine virtuelle qui hébergeait la CA racine ou intermédiaire oubliée. En l’absence de technologie adéquate, la résolution de cette erreur peut demander des mois.

2. Ne pas révoquer les certificats et supprimer les clés
Les propriétaires d’applications et les administrateurs système qui ne travaillent pas au contact des certificats tentent fréquemment de les installer au mauvais endroit, commettent des erreurs dans les requêtes ou oublient de supprimer les certificats inutiles ou inutilisés. Il peut arriver que ces certificats inutiles ne soient jamais révoqués et que leur clé ne soit jamais supprimée. Dans certaines entreprises, des milliers d’identités de machine inutiles polluent des centaines de serveurs. Cette situation offre aux personnes malveillantes une multitude de possibilités de découvrir ces certificats légitimes et d’en abuser.

3. Prolonger constamment la période d’expiration des certificats
La gestion manuelle des certificats peut exiger une grande quantité de temps et de ressources, en particulier si les entreprises emploient des feuilles de calcul, des scripts internes ou des tableaux de bord de CA présentant des fonctionnalités limitées. Il peut être tentant de limiter ce problème en prolongeant la période d’expiration des certificats. Bien que cette technique puisse faire gagner un certain temps aux sociétés à court terme, elle accroît néanmoins les risques de sécurité opérationnels de manière significative. Prolonger la durée de vie des certificats offre aux attaquants davantage de temps de cibler les clés privées.

4. Ne pas assurer le suivi des certificats génériques
Les certificats génériques sont si simples à utiliser qu’ils sont souvent employés aveuglément et que de nombreuses entreprises n’assurent pas leur suivi. Si les administrateurs de PKI ne connaissent pas les machines qui utilisent des certificats génériques, il leur est quasiment impossible de renouveler chaque instance avant qu’elle n’expire. Lors de l’expiration de ces certificats, chaque machine sur laquelle ils étaient installés cesse immédiatement de communiquer. Cette éventualité peut perturber les activités et exige des ressources conséquentes pour assurer le suivi de chaque installation et réinstaller de nouveaux certificats.

« Il est trop facile de commettre ces fréquentes erreurs de PKI, qui peuvent donner lieu à de graves répercussions sur les opérations », conclut Kevin Bocek. « En soulignant certains points susceptibles de terriblement mal tourner, davantage d’administrateurs de PKI pourront éviter les situations cauchemardesques précédemment décrites. La meilleure façon d’éliminer les principales erreurs nuisant aux PKI consiste à élaborer un programme de protection des identités de machine fournissant la visibilité, les renseignements et l’automatisation nécessaires pour réduire les risques de sécurité et renforcer la fiabilité et la disponibilité. »


Voir les articles précédents

    

Voir les articles suivants