Aujourd’hui, Keyfactor a officiellement finalisé l’acquisition de Cofide. Nous sommes ravis d’accueillir Matt Bates et l’équipe de Cofide sur Keyfactor, mais je pense que ce qui importe le plus, c’est ce qui a poussé nos deux entreprises à s’associer au départ.
Nous sommes à un tournant décisif dans la manière dont les entreprises instaurent la confiance numérique.
Le cloud et le DevOps ont déjà transformé l'ampleur et la rapidité avec lesquelles les machines interagissent. Aujourd'hui, l'IA accélère cette évolution. Les charges de travail et les agents d'IA ne se limitent pas à une seule application ou à un seul environnement. Ils communiquent entre différents services, appellent des API, se déplacent d'un cloud à l'autre et d'un domaine de confiance à l'autre, et agissent de plus en plus souvent sans intervention humaine directe.
Pourtant, nous continuons à sécuriser bon nombre de ces systèmes en utilisant une approche conçue pour un monde très différent : attribuer un identifiant à quelque chose et faire confiance à quiconque le détient.
Mais ce modèle n'est pas adapté à la direction que nous prenons.
Le secteur passe des identifiants à l'identité vérifiable par cryptographie
La distinction entre le fait de détenir un titre et celui de prouver son identité peut sembler subtile, mais elle revêt une importance croissante.
Les secrets statiques, les jetons à longue durée de vie et les clés codées en dur prouvent qu’un système a accès à un identifiant. Ils ne prouvent pas nécessairement que le système qui le présente est bien celui auquel cet identifiant était destiné. Si l’identifiant est copié ou volé, cette distinction disparaît complètement.
À mesure que le nombre de charges de travail augmente, le problème devient plus difficile à maîtriser. Les agents d'IA compliquent encore davantage la situation, car ces systèmes peuvent être autorisés à déclencher des actions et à interagir avec d'autres systèmes de manière autonome.
Nous ne pouvons pas reprendre les pratiques en matière d’identité, qui peinent déjà à fonctionner à l’échelle du cloud, et les reproduire à l’échelle d’une population potentiellement gigantesque d’agents d’IA.
Au contraire, les charges de travail et les agents ont besoin d'identités uniques, vérifiables par cryptographie, à durée de vie limitée et gérées tout au long de leur cycle de vie.
La bonne nouvelle, c'est que le secteur a déjà accompli des progrès significatifs vers ce modèle.
Les normes existent. Le défi consiste à les mettre en pratique.
Les normes ouvertes telles que SPIFFE offrent au secteur une base permettant d'établir l'identité des charges de travail sans avoir recours à des secrets à long terme.
C'est important, car nous n'avons pas besoin d'un nouveau modèle d'identité propriétaire pour chaque nouveau cloud, chaque nouvelle plateforme ou chaque nouveau type de charge de travail. Nous avons besoin de normes qui permettent d'instaurer la confiance dans des environnements de plus en plus hétérogènes.
Mais il y a une différence considérable entre disposer d'une norme adaptée et la rendre applicable au sein d'une grande entreprise.
C’est précisément le problème que Cofide s’est attaché à résoudre. Les entreprises ne fonctionnent pas comme les hyperscalers, qui disposent de ressources d’ingénierie illimitées dédiées à la mise en place d’une infrastructure d’identité autour de leurs déploiements Kubernetes. Elles disposent d’ open-source , de machines virtuelles, de serveurs physiques, d’applications sans serveur, de plusieurs clouds et d’environnements hérités qui doivent tous coexister. La solution Cofide assure la gestion de l’identité des charges de travail, sécurisant ainsi les charges de travail des applications et les agents d’IA dans n’importe quel environnement cloud.
Comme l'explique Matt, cette complexité ne cesse de croître :
« On assiste à une explosion du nombre d'applications, ainsi que du nombre de répliques de ces applications nécessaires pour faire face à la croissance. Et bien sûr, à l'ère de l'IA, on voit apparaître des agents, et leur nombre va connaître une véritable explosion. »
Les normes fournissent à ces environnements une base commune. L'opportunité consiste à compléter cette base par l'automatisation, la gouvernance, l'observabilité et l'expérience développeur dont les entreprises ont besoin pour l'exploiter pleinement à grande échelle.
Pourquoi Cofide s'intègre dans le plan de contrôle de la confiance
C'est là que je vois une complémentarité naturelle entre Cofide et Keyfactor.
Nous avons développé le plan de contrôle « Keyfactor » en partant du principe que les identités des machines et la cryptographie ne peuvent plus être gérées comme un ensemble d’outils de sécurité disparates.
Les certificats font partie de cette infrastructure. Il en va de même pour les clés, les algorithmes cryptographiques et les bibliothèques, l'PKI, la signature, ainsi que les politiques régissant l'utilisation de tous ces composants.
Le « Trust Control Plane » rassemble ces éléments au sein d'un système continu permettant de détecter, d'analyser, de mettre en place, d'orchestrer et de réguler la confiance à l'échelle de l'entreprise.
Cofide étend cette vision aux charges de travail modernes et à l'identité des agents d'IA.
Sa technologie s'appuie sur des normes ouvertes, notamment SPIFFE, OAuth et OIDC, et est conçue pour attribuer aux charges de travail des identités uniques, à durée de vie limitée et vérifiées par cryptographie. Cela ouvre la voie à une extension de la confiance au cœur même de Kubernetes, dans les environnements hybrides et multicloud, dans les interactions entre services et, à terme, dans les interactions entre agents et entre agents et outils, qui gagneront en importance à mesure que l'adoption de l'IA se généralisera.
C'est une distinction importante. L'identité des charges de travail ne doit pas devenir un nouveau silo d'identité isolé. Elle doit s'inscrire dans la même infrastructure de confiance que celle utilisée par les organisations pour comprendre et gérer les identités des machines et la cryptographie à l'échelle de l'entreprise.
L'IA rend d'autant plus urgent de réussir dans ce domaine
Le cloud et le DevOps ont entraîné une croissance considérable du nombre d'identités machine. L'IA ne fait qu'accélérer encore davantage cette tendance.
La question ne se limite pas au nombre d'identités que les organisations devront gérer. Les agents IA constituent une nouvelle catégorie d'acteurs numériques capables d'accéder aux systèmes, d'appeler des API, de communiquer avec d'autres agents, mais surtout d'agir au nom des organisations.
Nous ne pouvons pas garantir cet avenir en reproduisant les pratiques du passé.
Les clés codées en dur, les jetons OAuth à longue durée de vie et les identifiants partagés entre les systèmes constituent un risque, même dans les environnements actuels. L’application de ce même modèle à des agents autonomes fonctionnant à la vitesse des machines ne fait qu’aggraver ce risque.
Matt explique pourquoi l'identité à l'exécution est si importante :
« Vous ne fournissez pas d'emblée une clé ou un jeton statique doté de privilèges permanents. Au lieu de cela, vous fournissez ces informations d'identification au moment de l'exécution, et vous vous assurez de pouvoir ensuite utiliser cette identité, associée à une autorisation, pour garantir que l'agent se comporte comme prévu. »
Matt a abordé ce même point lors d'un entretien avec Dark Reading: « Nous ne pouvons pas reproduire les mêmes erreurs avec les agents. Nous devons veiller à nous appuyer sur des normes. »
C'est l'un des principes les plus importants pour la prochaine génération d'identité des machines.
L'IA ouvre peut-être la voie à de nouveaux cas d'utilisation, mais nous ne devrions pas pour autant réagir en mettant en place un ensemble entièrement nouveau de mécanismes de sécurité propriétaires autour de ceux-ci. Nous devrions nous appuyer sur des normes établies, recourir à l'identité cryptographique plutôt qu'à des secrets persistants dans la mesure du possible, automatiser les cycles de vie des identités et mettre en place une gouvernance dès le départ.
La confiance doit faire partie intégrante de l'infrastructure
La finalisation de l'acquisition de Cofide marque une étape importante, mais elle marque également le début de la prochaine phase de notre collaboration.
Les architectures « cloud-native » continueront d'évoluer. Les agents d'IA deviendront plus performants, plus autonomes et mieux interconnectés. Et le nombre d'identités non humaines que les entreprises doivent sécuriser ne cessera d'augmenter.
Pour les organisations qui adoptent l'IA, cela représente l'occasion de poser dès maintenant les bases adéquates, plutôt que de reproduire des pratiques en matière d'identité qui n'ont jamais été conçues pour des systèmes autonomes. Chaque charge de travail et chaque agent d'IA doit être en mesure de prouver son identité, de fonctionner avec le niveau d'accès approprié et de disposer d'une identité pouvant être gérée tout au long de son cycle de vie.
Cela nécessite bien plus qu’une simple solution ponctuelle en matière d’identité. Il faut des normes ouvertes, une identité vérifiée par cryptographie et un plan de contrôle de confiance unifié capable de régir la confiance entre les machines, les charges de travail, les applications et l’IA.
Cofide faisant désormais partie d’ Keyfactor, nous étendons cette vision à l’un des domaines émergents les plus importants de l’infrastructure de confiance d’entreprise. Alors que l’IA transforme les capacités des machines, nous devons veiller à ce que la confiance soit intégrée dès le départ.
Lire le communiqué de presse dans son intégralité | Qu'est-ce qu'une infrastructure de confiance ?
