Une PKI mal gérée reste vulnérable aux cyberattaques, les acteurs malveillants tirant profit des mauvaises pratiques en s’emparant plus facilement des clés des systèmes et des actifs. Dans ce contexte, quels sont les points de vigilance et les risques encourus ?

Vol de clés privées
Les clés privées permettent de déchiffrer les informations. Les clés publiques permettent, en revanche, de vérifier que l’expéditeur d’une communication chiffrée est bien celui qu’il prétend être. Si ces clés sont compromises les hackers peuvent mener des attaques man-in-the-middle (HDM) consistant à intercepter et à déchiffrer les communications en transit. Selon le type de certificat, un acteur malveillant peut également signer des malwares ou émettre des certificats frauduleux facilitant l’exécution d’autres formes d’attaques (ingénierie sociale, vulnérabilités logicielles, attaques de la supplychain, attaques par canal latéral).
La protection des clés privées requiert un stockage sur des modules de sécurité matériels (HSM) et une rotation régulière. Par ailleurs, leur accès doit être limité aux seuls utilisateurs et services qui en ont besoin, conformément au principe du moindre privilège. Une fois ces mesures mises en œuvre, il est possible de surveiller et d’enregistrer les tentatives d’accès pour détecter tout comportement suspect, tout en contrôlant et en inventoriant en permanence sa PKI. Pour mieux faire face à l’évolution des attaques contre les PKI, les entreprises peuvent également centraliser la gestion des PKI et des certificats, activer la découverte proactive et définir des stratégies qui empêchent l’utilisation d’une PKI fantôme.

Protocoles obsolètes et clés faibles
Les attaquants ne cessent d’améliorer leurs capacités et leurs outils. Si une PKI utilise des clés faibles ou des protocoles obsolètes, elle devient plus simple à exploiter pour les hackers. Ils ont alors plus de facilité à forcer les clés faibles, déterminer les collisions de hachage cryptographique des clés ou procéder à une ingénierie inverse sur la clé d’origine. Ils peuvent exploiter les vulnérabilités connues des protocoles et algorithmes obsolètes à divers niveaux et points d’intrusion.
Il est donc essentiel de s’assurer de l’absence de protocoles obsolètes et de clés faibles au sein de sa PKI et de la mettre à jour le cas échéant. Il est recommandé, également, d’instaurer des contrôles pour assurer une rotation fréquente des clés tout en limitant le nombre de tentatives autorisées en cas de saisie de clés incorrectes.

Compromission de l’autorité de certification
Les certificats numériques sont émis par des sources fiables : les autorités de certification (AC). Les entreprises utilisent à la fois des certifications publiques et privées. Une récente étude souligne qu’une entreprise en utilise neuf en moyenne. Comme les certificats numériques, les AC possèdent leurs propres clés privées que les attaquants peuvent voler et utiliser pour émettre des certificats frauduleux. Ils peuvent ainsi lancer des attaques HDM. À l’aide de malwares ou d’autres techniques d’infiltration, ils peuvent également récupérer un certificat frauduleux signé par une autorité de certification sans nécessiter la clé privée correspondante.
La protection de l’autorité de certification racine n’a pas de prix. Sa compromission par un tiers nécessite de reconstruire intégralement sa PKI. Pour la protéger de manière optimale, il est conseillé de la conserver hors ligne dans un HSM (Module Matériel de Sécurité) et de mettre en place une stratégie de crypto-agilité ainsi que des processus permettant de révoquer tous les certificats, autorités de certification et clés qui ont été compromis.

Vols de clés de signature de code
Les clés et certificats de signature de code permettent de valider que les codes et logiciels n’ont pas été altérés ou corrompus. Ces clés et certificats sont le plus souvent utilisés par les développeurs et les équipes DevOps. En volant des clés de signature de code, les hackers peuvent signer des malwares et des pilotes frauduleux pour accéder à des actifs sensibles.
En règle générale, les équipes de développement se procurent leurs propres ressources PKI et signent leurs propres certificats dans les entreprises sans processus PKI normalisés ni supervision. Or la perte de fiabilité des certificats auto-signés est aggravée par le mauvais entretien des PKI, comme un stockage négligent des clés. Les attaquants peuvent donc les récupérer facilement. CABForum et Microsoft ont collaboré dernièrement à l’amélioration des exigences de base des certificats de signature de code pour inclure des exigences relatives à l’approbation de l’organisation et à la vérification du HSM. 

Manipulation des LCR
Une liste de révocation de certificats (CRL) regroupe les certificats retirés ou invalidés. Il s’agit en quelque sorte d’une liste « d’interdiction d’utilisation ». Les certificats y sont inscrits à leur expiration, révocation ou remplacement suite à une compromission. La CRL est tenue à jour par l’autorité de certification. Les navigateurs et les applications la consultent pour s’assurer que les certificats qu’ils rencontrent n’ont pas été invalidés. Les pirates peuvent la manipuler pour masquer la révocation d’un certificat.
Pour se protéger, de nombreuses entreprises s’orientent vers le protocole OSCP. Ce dernier permet de vérifier l’état de révocation de chaque certificat individuel sans devoir télécharger la CRL dans son intégralité. Il est également possible de protéger la CRL en stockant les clés en toute sécurité, en maintenant des privilèges de contrôle d’accès stricts et en effectuant des audits de sécurité réguliers.

Entretien et gouvernance de la PKI
Pour protéger une PKI il est parfois judicieux d’envisager une modernisation, en vue d’un fonctionnement plus souple et plus efficace, qui améliorera considérablement sa sécurité. Protéger ses clés est également un élément incontournable de l’arsenal de protection. Pour ce faire, il suffit de les stocker dans un HSM, un coffre-fort logiciel ou à minima sur un système de fichiers local permettant de générer et de stocker la clé privée sans passer par un serveur. Il faut, par ailleurs, renforcer la robustesse de ses clés et les renouveler régulièrement mais également en restreindre l’accès et mettre régulièrement à jour les listes de contrôle des accès.

Créez des stratégies pour les PKI.
Privilégier la découverte proactive de tous les certificats, permet de déterminer plus facilement ce qui doit être protégé. La centralisation dans une plateforme de gestion globale facilite la mise en œuvre de stratégies et de procédures sécurisées.

Instaurer également des routines de « nettoyage » régulières peut s’avérer salvateur. Cela permet de vérifier les erreurs de configuration et les vulnérabilités, de mettre à jour les autorisations d’accès, de rechercher les comportements suspects et de limiter la prolifération des PKI.

Si le travail ne manque pas pour les équipes en charge de la sécurité, de l’infrastructure et de la gestion de la PKI, résoudre une compromission de la PKI est beaucoup plus coûteux et intensif que de la prévenir.