À l'ère du travail à distance et de l'Internet des objetsIoT, les entreprises de sécurité ne cessent de prêcher la confiance numérique, car c'est une bataille sans fin ! Tour gagner la bataille, vous devez faire corps avec votre PKI et apporter un équilibre à votre organisation.
Malheureusement, le côté obscur de l'PKI peut corrompre votre programme de sécurité et rendre la rébellion - ou plutôt votre organisation - vulnérable aux attaques.
Heureusement, nous avons mis au point un nouveau guide (voir l'eBook ci-dessous !) pour dévoiler le côté obscur de l'PKI et vous aider à devenir un Jedi de l PKI .
Visibilité et contrôle de lPKI
Les certificats TLS sont essentiels pour le cryptage des données et les connexions sécurisées, mais un seul certificat expiré ou mal configuré peut provoquer des pannes de système et perturber des services essentiels.
Comme lorsque le système CHAPS de la Banque d'Angleterre a été mis hors service. de la Banque d'Angleterre s'est arrêté pendant 91 minutes en raison d'un certificat expiré. Ou lorsque le système Starlink de SpaceX - une constellation de satellites en orbite autour du globe - est tombé en panne à la suite de l'expiration du certificat d'une seule station terrestre. certificat d'une station au sol a expirélaissant des millions de personnes dans le monde sans connexion.
N'oubliez pas que ces pannes sont survenues dans des entreprises de premier plan dotées d'équipes techniques qualifiées ; les petites entreprises sont donc susceptibles de connaître des temps d'arrêt de plus d'une heure. En effet, le rapport 2024 PKI & Digital Trust de Keyfactor de Keyfactor révèle que les pannes de certificat entraînent en moyenne 5 heures de temps d'arrêt - même lorsque la cause est détectée rapidement.
Au-delà des temps d'arrêt, les pannes de certificats causées par des certificats compromis peuvent avoir des conséquences bien plus graves. Pour limiter ces risques, Google et Apple ont proposé de réduire la durée de validité des certificats à 90 et 45 joursrespectivement. Bien que ces suggestions soient prometteuses, elles ne seront pas soumises au vote avant 2025 et 2027. Même à ce moment-là, l'issue reste incertaine. Il n'est donc pas judicieux de se fier uniquement à ces délais pour assurer sa sécurité.
Si vous souhaitez contrôler la sécurité de vos certificats, voici la première règle : évitez les processus manuels tels que les feuilles de calcul et les scripts personnalisés. Ils ne s'adapteront pas à la multiplication des certificats, ce qui rendra les pannes inévitables.
Au lieu de cela :
- Centralisez votre inventaire de certificats sur les serveurs, les clients, la signature de code et les racines de confiance.
- Suivre les dates d'expiration, les emplacements et les propriétaires de toutes les autorités de certification, des terminaux du réseau, des services en nuage, des journaux CT et des magasins de certificats.
- Utilisez des outils tels que Keyfactor Command pour automatiser la découverte des certificats et la gestion de leur cycle de vie.
Sécurité rationalisée entre les équipes
Les certificats de voyous constituent une menace sérieuse pour la sécurité, à l'instar d'un seigneur Sith déguisé qui projette de prendre un jour le contrôle de la République.
De même, les certificats erronés sont des menaces discrètes qui peuvent entraîner des pannes coûteuses. En fait, 42 % des organisations ont fait de l'élimination des certificats frauduleux une priorité absolue.
Ces certificats erronés apparaissent généralement lorsque
- Les employés se précipitent dans le processus de création de certificats sans suivre les procédures appropriées.
- Les propriétaires d'applications contournent les protocoles de sécurité pour obtenir des certificats par eux-mêmes (certificats auto-signés).
- Les équipes de sécurité manquent de visibilité ou de contrôle sur la manière dont les certificats sont utilisés par les serveurs et les applications.
- Un certificat compromis est utilisé pour sécuriser plusieurs sous-domaines (certificats génériques).
Pour protéger votre organisation contre les certificats frauduleux, voici ce qu'il faut faire :
- Travailler avec les équipes chargées des applications et des opérations pour comprendre leurs besoins et leur fournir des certificats conformes aux politiques.
- Limitez l'utilisation de certificats auto-signés et de certificats de type "wildcard" dans votre organisation.
- Consolider les outils PKI et CA pour réduire les coûts et la complexité.
- Faciliter l'obtention de certificats conformes à la politique de l'entreprise par les équipes
- Mettre en œuvre une solution PKI telle que Keyfactor Command pour prendre en charge les déploiements basés sur le cloud et les conteneurs.
Sécuriser la signature des codes
La chaîne d'approvisionnement en software est l'une des plus grandes menaces pour la confiance numérique, l'abus de signature de code étant le vecteur d'attaque le plus courant. Au cours des dernières années, nous avons assisté à des attaques très médiatisées au cours desquelles des attaquants se sont introduits dans les environnements de signature et ont infecté directement le code, permettant ainsi aux logiciels malveillants d'échapper aux défenses. Cela s'explique en partie par le fait que les équipes informatiques stockent les clés de signature de code sur des postes de travail (53 %) et des serveurs de développement (52 %) au lieu d'utiliser des HSM sécurisés.
Voici un exemple de vecteurs d'attaque par signature de code en action CVE-2023-51634où une mauvaise validation des certificats HTTPS sur les routeurs RAX30 de NETGEAR a permis aux attaquants de compromettre les données téléchargées.
Un autre exemple d'attaque par signature de code est celui du vol des clés de signature de code d'AnyDesk. AnyDesk ont été volées.Ce vol a provoqué une fenêtre de maintenance de 48 heures et a obligé les utilisateurs à mettre à jour leur software afin d'empêcher tout accès non autorisé.
Pour contribuer à limiter les attaques par signature de code, l'organisme CA/B exige désormais que les clés privées des certificats de signature de code soient stockées dans des HSM.
Mais ce n'est pas suffisant. Pour mieux protéger votre organisation contre les attaques par signature de code :
- Appliquer le principe du moindre privilège grâce à des contrôles d'accès par clé et par signature.
- Automatiser et intégrer la signature sécurisée dans les flux de travail existants à l'aide d'outils tels que SignServer.
- Générer une nomenclature Software (SBOM) à la signature pour garantir la confiance et la transparence.
- Horodatez votre code signé avec une autorité d'horodatage fiable (TSA).
- Utiliser l'authentification multifactorielle tout au long de la chaîne d'approvisionnement en software .
Sécurisation des clés SSH
Le protocole SSH (Secure Shell) est essentiel pour sécuriser les tâches administratives telles que les connexions à distance et les transferts de fichiers. Cependant, de nombreuses équipes informatiques croient à tort que l'utilisation de mots de passe ou de paires de clés pour l'authentification SSH est infaillible, laissant ainsi les organisations vulnérables aux attaques.
Bien que les clés SSH soient de puissants outils de sécurité, si elles tombent entre de mauvaises mains, elles peuvent être utilisées pour se déplacer sans être détectées entre les systèmes. Contrairement aux certificats, les clés SSH n'expirent pas, ce qui signifie qu'une fois compromises, elles peuvent être utilisées indéfiniment. De plus, comme elles sont souvent partagées ou copiées, elles peuvent accorder aux attaquants des privilèges excessifs.
Les vecteurs d'attaque courants sont généralement dus à des clés oubliées ou dormantes provenant d'un accès temporaire, à des clés partagées au sein des équipes informatiques, à des clés faibles trouvées dans le code source ou dans des dépôts publics, etc. Un exemple concret est le logiciel malveillant SSH-Snake, découvert en 2024, qui a exploité les informations d'identification SSH pour se propager sur les réseaux, touchant 36 % des entreprises basées aux États-Unis.
Pour sécuriser vos clés SSH :
- Désactiver l'authentification par mot de passe qui est vulnérable aux attaques par force brute.
- Créer un inventaire des paires de clés et cartographier les relations de confiance.
- Contrôler l'utilisation, l'âge et la force des clés, ainsi que les comptes associés.
- Mettre en œuvre des politiques de rotation des clés et supprimer les clés faibles ou dormantes.
- Utilisez des certificats SSH de courte durée pour une authentification plus sûre.
Remarque : Ces conseils de remédiation doivent être appliqués avec prudence, car la suppression ou la rotation hâtive des clés SSH peut entraîner une perte d'accès et des interruptions de service.
Quantum arrive
Les ordinateurs quantiques sont prometteurs pour des domaines tels que la médecine et la climatologie, mais ils représentent également une menace pour les algorithmes de cryptage qui protègent les certificats PKI . L'informatique quantique pourrait permettre à des attaquants disposant de ressources avancées de forcer brutalement même nos algorithmes cryptographiques les plus sûrs.
Vous pourriez vous dire : "Ce n'est pas près de se manifester", mais les agences gouvernementales préviennent que des acteurs malveillants pourraient être en train de récolter vos données chiffrées dès maintenant, en prévoyant de les décrypter une fois que les ordinateurs quantiques seront complètement au point. De plus, les nouvelles technologies sont connues pour progresser lentement jusqu'à ce qu'elles s'accélèrent de manière inattendue. En fait, le Gartner prédit que d'ici 2029, l'informatique quantique sera pleinement développée.
N'oublions pas que le passage de la cryptographie non quantique à la cryptographie post-quantique est complexe et que sa maîtrise pourrait prendre de nombreuses années. En outre, de nouveaux mandats et de nouvelles réglementations ne manqueront pas de voir le jour à mesure que les gouvernements et les organismes de normalisation pousseront à l'adoption de la cryptographie quantique.
Se préparer à l'ère quantique :
- Établir un inventaire cryptographique complet, y compris des clés et des certificats.
- Discutez avec les fournisseurs, y compris les fournisseurs de PKI et de HSM, pour vous assurer qu'ils sont prêts pour une sécurité à l'épreuve des quanta.
- Investir dans des outils PKI , tels que l'EJBCA, qui sont prêts pour le calcul quantique.
- Préparez vos systèmes en adoptant des processus automatisés pour le renouvellement et l'approvisionnement des certificats.
Un regard vers l'avenir : Explorer l'eBook
La face cachée de la confiance numérique va au-delà de ce que nous avons couvert ici, tout comme les solutions. Consultez notre passionnant eBook pour obtenir toutes les informations dont vous avez besoin pour renforcer votre confiance numérique et protéger l'infrastructure de votre organisation.
Plongez dans ce guide et explorez-le - nous espérons qu'il vous plaira !
