Les plus grandes pannes de certificat en 2023 et ce que nous pouvons en apprendre

Les organisations s'appuient sur PKI, les clés cryptographiques et les certificats numériques pour connecter en toute sécurité plus d'utilisateurs, de machines et d'applications que jamais dans leur environnement informatique. Cependant, les entreprises ont de plus en plus de mal à gérer le paysage croissant des identités PKI et des machines. 

Awareness of certificate-related challenges does not always translate into solving them, as Keyfactor’s 2023 State of Machine Identity Management Report reveals:

• Les dirigeants soutiennent de plus en plus la gestion des identités des machines... mais de plus en plus d'entreprises affirment que la gestion des clés et des certificats a alourdi la charge opérationnelle de leurs équipes. 
• Davantage d'organisations déclarent avoir une stratégie de gestion des identités mature à l'échelle de l'organisation... mais davantage d'organisations déclarent également ne pas savoir exactement combien de clés et de certificats elles possèdent.
• La réduction de la complexité de PKI et la prévention des pannes liées aux certificats sont les principales priorités de la gestion de l'identité des machines. Pourtant, l'organisation moyenne utilise neuf solutions différentes de PKI et d'autorité de certification.

These complications increase the likelihood of certificate-related outages and downtime. Such disruptions compromise the brand in the minds of customers and result in significant remediation costs. 

Avec l'explosion des identités numériques et des certificats au sein d'une organisation moyenne, la gestion de centaines de milliers de certificats n'est pas une mince affaire. 

En 2023, nous avons vu que même les entreprises les plus sophistiquées trouvent que la gestion des certificats est un défi. Ces défaillances permettent de tirer des enseignements sur la manière dont les organisations peuvent comprendre et prévenir les pannes liées aux certificats et mieux gérer leur site PKI.

Microsoft Sharepoint

In July, a certificate outage disabled Microsoft Teams, Outlook, and other services. Though Microsoft found and fixed the issue within a few minutes, users still experienced interruption for a few hours. 

Une enquête plus approfondie a révélé que le certificat allemand TLS de sharepoint.de avait été ajouté par erreur au domaine primaire sharepoint.com. 

A retenir

Though this incident is by no means a disaster, it shows how easy it is to make a certificate mistake. Removing certificate management from human hands as much as possible reduces the chance of human error. As organizations seek to streamline certificate management, they should seek to automate as much as possible.

SpaceX Starlink

In April, SpaceX’s Starlink satellites went down for several hours, affecting users across the globe. SpaceX’s CEO, Elon Musk, took to Twitter/X to cite an “expired ground station certificate” as the cause. 

Plus précisément, les experts ont supposé que le certificat expiré était un certificat TLS , qui aurait entraîné la mise hors ligne d'un site web ou d'une application basée sur le web. M. Musk a ensuite déploré que cette "vulnérabilité ponctuelle" soit "inexcusable".

A retenir

He’s right. For one thing, the average organization maintains over a quarter million certificates at any given time. It only takes one un-tracked certificate expiring to bring operations to a halt.  

D'autre part, les entreprises de Musk se positionnent toutes comme des perturbateurs. Starlink a atteint un million d'utilisateurs en 2022. Dans la bataille pour convaincre les gens de faire confiance à une nouvelle façon de faire les choses, des interruptions comme celle-ci peuvent ralentir l'adoption, nuire à la marque et causer des perturbations importantes dans l'intervalle. 

Fonctionnalité Spotify de Microsoft

En 2021, Microsoft a remanié son application Horloge pour Windows 11, en y ajoutant une intégration Spotify qui diffuse des chansons parfaites pour travailler en profondeur. Spotify a même créé quelques listes de lecture axées sur la productivité pour enrichir l'expérience d'intégration.

But in February of 2023, the feature went down and stayed down for months. Users could no longer link their Spotify accounts to the Clock app. After users complained in both Spotify and Microsoft support forums, Spotify identified an issue. 

En raison d'un certificat expiré, l'en-tête oATH envoyé à l'API de Spotify n'était plus valide. En d'autres termes, l'erreur se situe du côté de Microsoft.

Il aurait dû s'agir d'une correction rapide, mais les utilisateurs ont été frustrés par la persistance du problème.

A retenir

Cet incident montre comment une panne de certificat peut empoisonner le puits d'une nouvelle fonctionnalité ou d'une intégration.

Dans notre monde de services numériques, il est facile d'oublier que la création d'un nouveau service s'accompagne d'un certain degré de maintenance - des certificats, en l'occurrence. Lorsqu'elles lancent de nouvelles offres, les organisations doivent penser à l'avenir et prévoir les ressources nécessaires pour assurer le fonctionnement à long terme des fonctionnalités.

Il est alors temps de passer à la mise en place de la sécurité proprement dite. Pour ce faire, vous devez

Dépôt GitHub

In January 2023, intruders gained unauthorized access to some of GitHub’s code repositories and stole code signing certificates for GitHub’s Desktop and Atom applications. If the stolen certificates were decrypted, attackers could create maliciously altered versions of the app and pass them off as official updates from GitHub. 

Heureusement, les certificats de signature de code de GitHub étaient protégés par un mot de passe, de sorte qu'aucun dommage n'a été causé. GitHub a simplement révoqué les certificats volés et publié de nouvelles versions des applications dotées de nouveaux certificats. 

A retenir

Nvidia suffered a similar attack in 2022, in which the hacker group Lapsus$ leaked Nvidia’s code signing certificates so that other malicious actors could use them to sign malware. 

GitHub’s crypto agility proved pivotal in avoiding such a disaster. These days, cyberattacks aren’t a matter of “if” but “when.” Organizations must make plans to contain threats as much as prevent them so that when an attack happens, they can detect and remediate the issue without affecting users.

Cisco SD-WAN

In May, certificates on Cisco’s Viptela and Meraki SD-WAN hardware expired, affecting over 20,000 customers. The expired certificates disrupted cloud, data storage, e-commerce tools, and other services. 

Les certificats et hardware ont été hérités par Cisco lorsque la société a acheté Viptela en 2017. Les certificats avaient une durée de vie de 10 ans depuis quatre ans, mais il semble que Cisco n'ait pas anticipé leur expiration. 

Il semble que Cisco ait tardé à résoudre le problème, ce qui, selon un Redditor, est "la chose la plus Cisco de tous les temps".

A retenir

Même en 2024, il n'existe aucun moyen d'intégrer de manière transparente un système à un système acquis dans un contexte post-fusion. Il y a tellement de variables, de configurations et d'autorisations à prendre en compte - le statut des cycles de vie des certificats étant l'un d'entre eux.

Finding an unaccounted-for certificate in your own environment is hard enough. Finding it in an unfamiliar, acquired environment is even more difficult. This incident shows the risks of M&A activity, as well as the benefit of an automated, centralized certificate management solution.

Nouvelle année, nouvelles pannes

C'est peut-être à la fois une consolation et une mise en garde que les pannes de certificat surviennent dans certaines des entreprises les plus innovantes du monde. Il est presque certain que nous pouvons nous attendre à voir d'autres pannes en 2024.

Les pannes liées aux certificats sont le résultat d'un manque de visibilité et de contrôle sur le paysage des certificats d'une organisation. Lorsque les organisations automatisent la découverte des certificats et les suivent via un hub unifié, les pannes de certificats cessent tout simplement d'être une menace. 

Ready to learn how your organization can put a stop to disruptive outages this year? Get in touch — our team is ready to help.