La migration vers l'informatique dématérialisée a rapidement déplacé l'attention portée à la sécurité des frontières vers les identités. Dans ce modèle sans périmètre, rien n'est intrinsèquement fiable tant qu'il n'est pas authentifié et autorisé par une identité unique - une idée connue sous le nom de sécurité zéro confiance.
L'infrastructure à clé publique (PKI) et les identités des machines sont les ingrédients clés de la sécurité zéro confiance. Les machines virtuelles, les conteneurs, les applications, l'orchestration de conteneurs et les plates-formes de maillage de services s'appuient tous sur des clés et des certificats pour s'authentifier et communiquer en toute sécurité les uns avec les autres.
Savoir ce qui est digne de confiance, dans quels environnements et à quel moment, dépend des certificats numériques et de l'infrastructure à clé publique (PKI) qui les sous-tend.
Traditionnel ou décentralisé PKI
Derrière chaque certificat se trouve une autorité de certification (AC). Microsoft Active Directory Certificate Services (ADCS), souvent appelé Microsoft CA, est depuis longtemps le choix de facto pour de nombreuses organisations. Il est bien intégré à l'infrastructure Microsoft et prend en charge les cas d'utilisation standard tels que l'authentification des utilisateurs et des appareils.
Cependant, le passage à l'informatique dématérialisée pose de nouveaux défis. Tout d'abord, la plupart des déploiements de PKI sur site n'ont tout simplement pas été conçus pour gérer le volume et la vitesse d'utilisation des certificats d'aujourd'hui. Sans parler du manque d'intégrations prêtes à l'emploi avec des infrastructures non Microsoft et des erreurs de configuration souvent négligées qui entraînent de graves risques pour la sécurité.
Les organisations sont aujourd'hui confrontées à un dilemme : elles sont devenues trop grandes pour leurs sites traditionnels PKI. En conséquence, nombre d'entre elles ont besoin de se reconstruire ou de se redéfinir pour prendre en charge cette nouvelle réalité. Il faut d'abord examiner le large éventail d'AC qui constituent aujourd'hui l'épine dorsale de PKI .
Quels sont les moteurs de la décentralisation sur le site PKI?
La réalité est que PKI ne se limite plus à une ou deux AC derrière les quatre murs de votre centre de données. Les opérations hybrides et multi-cloud d'aujourd'hui impliquent diverses AC publiques, privées, open-source et basées sur le cloud, chacune étant mise en œuvre par différentes équipes pour répondre à des cas d'utilisation spécifiques.
La nouvelle réalité est un modèle décentralisé PKI - un réseau de confiance qui s'étend aux environnements sur site et en nuage. En d'autres termes, PKI est partout, les certificats sont partout, vos machines sont partout, et tout cela est piloté par :
- Confiance hybride : chaque organisation s'appuie sur une combinaison d'autorités de certification tierces de confiance et d'autorités de certification privées internes pour répondre aux modèles de confiance à l'intérieur et à l'extérieur de l'organisation.
- Hybride et multi-cloud : la plupart des entreprises utilisent plusieurs services en nuage, tels que AWS, Azure et Google Cloud Platform, chacun ayant ses propres capacités intégrées pour l'émission de certificats.
- Disponibilité : Le temps de disponibilité, c'est de l'argent. L'infrastructure PKI est déployée dans des architectures en grappes, géo-redondantes ou à haute disponibilité afin d'éviter un point de défaillance unique et de garantir le temps de disponibilité pour la révocation et l'émission des certificats.
- Cas d'utilisation spécialisés : Les chaînes d'outils CI/CD et les environnements conteneurisés nécessitent des certificats de courte durée SSL/TLS , alors que les serveurs web traditionnels et les appareils peuvent utiliser un ou deux ans de certificats.
- Équipes dispersées : les différentes équipes et départements de l'organisation préfèrent des AC différentes en raison du coût, des exigences, des types de certificats, des niveaux d'assurance, etc.
- Manque d'intégration : ADCS est bien adapté à l'infrastructure Microsoft, mais il n'offre pas de support natif pour d'autres applications, ce qui oblige les équipes à développer des scripts et des mécanismes de suivi maison.
- Croissance de l'entreprise : les fusions et acquisitions dans les entreprises à forte croissance se traduisent par des environnements d'AC mixtes, souvent avec des règles et des politiques de sécurité contradictoires.
Que vous ayez déjà plusieurs autorités de certification en production ou que vous partiez de zéro, il y a beaucoup de choses à prendre en compte. Les systèmes PKI sont complexes et nécessitent une planification et une mise en œuvre appropriées pour garantir la confiance et la disponibilité dans l'ensemble de l'organisation.
Principaux éléments à prendre en compte pour une mise en œuvre moderne de PKI
Et maintenant, que faire ? Allez-vous créer une nouvelle AC dans le nuage ? Étendez-vous votre site PKI existant à l'informatique dématérialisée ? Autorisez-vous les équipes à utiliser un émetteur intégré ? Comment gérez-vous la décentralisation de PKI? De nombreuses questions et discussions importantes vous attendent, mais tout commence par ces cinq considérations clés.
Exigences en matière de confiance
Déterminez au cas par cas où les certificats publics et privés sont les mieux adaptés pour éviter de brouiller les frontières de la confiance. Réfléchissez ensuite à l'infrastructure PKI dont vous aurez besoin pour soutenir ce modèle de confiance et à la manière dont vous déléguerez et gérerez la confiance entre les différents silos.
Niveaux d'assurance
Tenez compte des garanties physiques et numériques entourant votre autorité de certification racine et votre autorité de certification émettrice. À des fins de test, il peut être acceptable d'émettre des certificats à partir d'un site PKI à faible niveau d'assurance, alors que les certificats de production nécessitent des niveaux d'assurance plus élevés.
Expertise requise
Déterminez si vous disposez de l'expertise, de la bande passante, du site hardware et des contrôles de sécurité nécessaires pour mettre en œuvre une PKI interne sécurisée, y compris une autorité de certification racine hors ligne à couverture aérienne, et pour la maintenir pendant une durée de vie de 10 à 20 ans.
Cas d'utilisation
Identifier les cas d'utilisation au sein des équipes chargées de l'infrastructure, de la sécurité, du réseau et des applications. Déterminer les types de certificats, les modèles, le volume d'émission, les protocoles, les intégrations, le libre-service et les capacités d'automatisation dont ces équipes auront besoin pour prendre en charge leurs cas d'utilisation spécifiques.
Continuité des activités
Les fusions, les acquisitions, les cessions et la croissance globale de l'entreprise modifieront votre site PKI au fil du temps. Assurez-vous que vous avez la capacité de prendre en compte ces différents environnements commerciaux et de propager la confiance dans chacun d'entre eux de manière appropriée.
Crypto-agilité
Préparez-vous à une éventuelle migration vers de nouvelles tailles de clés et de nouveaux algorithmes ou, à court terme, à une éventuelle défaillance ou vulnérabilité de l'autorité de certification. La capacité de révoquer et de réémettre des certificats à grande échelle est essentielle à votre réussite.
Commencer
Téléchargez le Guide du débutant pour l'évolution de PKI dans les opérations hybrides et multi-cloud pour découvrir les principales différences et les besoins de mise en œuvre entre les différentes autorités de certification dans votre environnement.
Prêt à commencer ? Découvrez nos options de déploiement flexibles pour atteindre la confiance zéro avec une gouvernance et une automatisation de bout en bout dans les environnements décentralisés PKI .
