Quatre conseils pour résoudre les problèmes liés aux certificats - sans en créer de nouveaux

Machine identities are exploding as businesses shift to the cloud, adopt containerization, and use more mobile and IoT devices. As mismanaged certificates cause painful outages and disruptions, the challenge of managing digital certificates is rising to critical for many organizations and leaders.

Keyfactor’s 2023 State of Machine Identity Management report shows that executive support for certificate management is improving, yet more organizations say they lack the adequate staffing to deploy and maintain their public key infrastructure. 

Even in the security realm, managing cryptography and public key infrastructure are niche specialties. A lack of proper tooling makes certificate lifecycle management (CLM) more difficult for general security and IT teams, significantly detracting from their primary responsibilities and duties. 

Keyfactor’s new Certificate Lifecycle Automation Buyer’s Guide helps organizations navigate the market of CLM solutions to identify solutions that keep their certificate usage on track.

Le poids de la gestion manuelle des certificats

The day-to-day office work of almost any unit within a business runs on a patchwork of tools and shadow IT assembled by users to support their workflows. It’s not their fault. They are trying to be as productive as possible. They are too busy staying above the tide of work to step back and identify a better way.

Les équipes qui gèrent les certificats ne sont souvent pas différentes. Elles utilisent probablement une combinaison de ces solutions :

Feuilles de calcul

Bien qu'il s'agisse d'un outil numérique, les feuilles de calcul restent très manuelles et encombrantes lorsqu'elles sont utilisées pour suivre des milliers et des milliers de certificats. De plus, les feuilles de calcul ne suivent que les certificats connus de votre équipe - elles ne tiennent pas compte des certificats inconnus qui se cachent dans les confins du paysage des systèmes. Et bien qu'elles soient largement utilisées, les feuilles de calcul ne disposent d'aucun processus de notification intelligent ni d'aucun concept d'automatisation à l'adresse PKI .

Outils du fournisseur de l'autorité de certification

A certificate authority (CA) is an entity that generates, signs, and issues digital certificates. Often, a CA vendor will offer a tool for managing certificates from that particular CA. However, most organizations use several CAs. Respondents to Keyfactor’s 2023 State of Machine Identity report used nine CAs on average — managing nine different tools is barely a step up from using spreadsheets. 

Open-source outils

While open-source CA tools can be flexible and low-cost, they rarely cover the full spectrum of use cases within an organization. They still don’t supply centralized visibility and control across all CAs and certificates in use by the enterprise. 

Une meilleure gestion des cycles de vie des certificats

Il existe de meilleures solutions, et ceux qui les recherchent doivent comprendre deux vérités essentielles sur la gestion du cycle de vie des certificats afin d'identifier le bon choix pour leur organisation. 

• Chaque certificat est important : Selon le rapport 2023 State of Machine Identity Management, l'organisation moyenne possède plus d'un quart de million de certificats. Chacun d'entre eux peut provoquer une panne en expirant inopinément.
• Votre solution doit être parfaitement adaptée: Un outil qui ne fait que 90 % de ce qui est nécessaire est mauvais à 100 %. Si une solution ne peut pas vous donner une visibilité totale, jeter les bases de l'automatisation des cycles de vie des certificats et se déployer d'une manière adaptée à votre environnement, elle créera plus de problèmes qu'elle n'en résoudra.

Every organization has its own unique set of needs. However, in searching for a certificate lifecycle management solution, there are a few universal pitfalls to avoid. 

1. Ne vous enfermez pas.

L'utilisation de plusieurs autorités de certification n'est pas un bogue, c'est une caractéristique. L'utilisation de plusieurs fournisseurs d'AC offre une redondance en cas de défaillance ou de compromission d'une AC. Les AC multiples offrent une plus grande flexibilité dans la création de processus de révocation et davantage d'options de service qui permettent de répondre aux besoins de sécurité particuliers d'une organisation.

That said, organizations must find a CLM platform that can issue and manage certificates from all the CAs used by the organization — and those the organization might use in the future. 

Dans le cas contraire, il faudra adopter plusieurs outils, ce qui ne permet pas de centraliser les données et crée des redondances, des travaux de maintenance et des coûts inutiles.

2. Ne pas confondre protocole et plateforme.

Several protocols accelerate the issuance and renewal parts of the certificate lifecycle, but they are far from a complete solution. ACME, EST, SCEP, and other protocols are basically process frameworks that allow communication with certificate authorities. You can think of these as different languages that different CAs are designed to speak in. 

Si ces protocoles facilitent l'automatisation de base, ils n'offrent pas de visibilité à l'échelle de l'organisation. Ils n'offrent pas non plus la fonctionnalité nécessaire pour révoquer les certificats en masse ou pour automatiser les configurations des points de terminaison qui lient les certificats et les racines de la gestion de la confiance. 

3. Se méfier des "logiciels intermédiaires".

Évitez les architectures intermédiaires qui se situent entre les autorités de certification et les appareils finaux. Ces fournisseurs ne gèrent que les certificats émis par leur plateforme et ne gèrent pas les certificats qui existent déjà dans votre environnement. Cela nécessiterait le redéploiement de tous les certificats via leur outil et la réorganisation des flux de travail pour passer par leur solution. 

Cette méthode est risquée et laborieuse. N'oubliez pas qu'il est bon d'utiliser plusieurs autorités de certification, mais cette méthode oblige les organisations à n'en utiliser qu'une seule si elles veulent obtenir une visibilité entièrement centralisée.

Il faut plutôt rechercher des solutions modulaires, faiblement couplées, qui agissent comme des orchestrateurs de certificats plutôt que comme des pipelines de transactions ou des goulots d'étranglement. 

4. Acheter en fonction de l'environnement dans lequel vous vous trouvez.

La manière dont une solution peut (ou ne peut pas) être déployée est tout aussi importante que ce qu'elle peut faire. Qu'une organisation fonctionne sur site ou dans le nuage, ou dans le cadre d'une architecture multi-cloud ou hybride, la solution doit être suffisamment souple pour pouvoir être déployée sans changement. 

While many organizations have embraced the cloud to one degree or another, legacy PKI infrastructures are likely still hosted on-premise. Most organizations need the ability to run parts, if not all, of their CLM infrastructures in the cloud while still managing on-premise assets.

Il est utile d'évaluer votre infrastructure et vos besoins de croissance lors de l'évaluation d'un modèle de déploiement. La solution idéale s'adaptera à la croissance de votre organisation et à ses besoins cryptographiques au fil du temps.

Résoudre le problème CLM - ne pas se contenter de l'échanger contre un autre

Gardez à l'esprit que la visibilité reste le plus grand défi pour les organisations qui développent la maturité de CLM . Cela signifie que lorsqu'elles recherchent des solutions, elles ne connaissent pas toute l'étendue de leur paysage de certificats. Les responsables de la sécurité veulent éviter d'acheter un outil, puis de découvrir qu'ils ont besoin d'autre chose, ou que leur nouvelle solution ne couvre que 90 % de leurs besoins (ou exige un bouleversement radical des processus et des flux de travail actuels). 

To see what else organizations should consider — and the key features they should look for — check out our new Certificate Lifecycle Automation Buyer’s Guide.

Il existe quelques signaux d'alarme que toute solution devrait offrir.

• Il devrait découvrir, enregistrer et surveiller de manière proactive chaque certificat dans l'ensemble de l'organisation, éliminant ainsi totalement le risque de certificats non détectés.
• Il doit centraliser la gestion de tous les certificats. Cela signifie qu'il doit être en mesure de contrôler tous les certificats à partir d'un centre unique.
• Il devrait automatiser les cycles de vie des clés et des certificats, en supprimant la charge de maintenance manuelle des feuilles de calcul, des outils d'autorité de certification de plusieurs fournisseurs et des solutions open-source .