Éplucher votre oignon PKI : Puis-je faire confiance à mon site PKI?

"Qu'est-ce qui rend un certificat numérique sûr ?

Lorsque je pose cette question à nos clients, la réponse que je reçois la plupart du temps est quelque chose comme "il a un algorithme sécurisé" ou "il est émis par une autorité de certification (CA) et n'est pas auto-signé".

Bien que ces réponses soient toutes deux correctes, il y a bien d'autres facteurs qui font qu'une autorité de certification est digne de confiance. PKIPKI ne concerne pas seulement la capacité à émettre un certificat à partir d'une autorité de certification, mais aussi le plan global et le processus de sécurisation et de gestion d'une autorité de certification.

Penchons-nous un peu plus sur la question.

De nombreux DSI et RSSI avec lesquels je m'entretiens pensent à tort que leur organisation est intrinsèquement sûre parce qu'elle dispose d'un site PKI , ce qui n'est souvent pas vrai. Je constate souvent que les équipes de sécurité qui mettent en œuvre le site PKI s'attachent uniquement à donner à leur organisation la capacité d'émettre des certificats d'un point de vue technique.

Cela conduit à un scénario courant dans lequel quelqu'un clique sur "Suivant... Suivant... Suivant..." pendant l'installation de l'autorité de certification et proclame "J'ai réussi à le faire fonctionner". Bien que cela permette d'atteindre l'objectif d'avoir un site PKI, cela ne répond pas aux objectifs de sécurité à long terme de l'entreprise.

Une bonne mise en œuvre de PKI doit être multicouche et dépasser le cadre étroit de l'émission de certificats. La mise en œuvre doit être une exécution bien pensée et planifiée qui prend en compte tous les aspects de la sécurisation du site PKI. Il s'agit de sécuriser les clés contre les menaces externes et internes.

Qui a accès à l'infrastructure de virtualisation et aux disques ? Qui a accès physiquement au centre de données ? Qui a accès aux sauvegardes ? Tous ces éléments sont des points de compromission potentiels.

Décortiquons l'oignon PKI . En tant que dirigeant, comment savoir si le site PKI de votre organisation est digne de confiance ? Vous trouverez ci-dessous un questionnaire rapide qui vous permettra d'identifier certains problèmes dans les domaines souvent négligés de la sécurité de PKI et vous aidera à évaluer la fiabilité de votre infrastructure PKI .

Si vous répondez honnêtement à ces questions et que vous vous retrouvez à répondre "non" ou "je ne sais pas" à un grand nombre d'entre elles, il est temps de repenser votre stratégie PKI .

Un site PKI qui n'est pas fiable peut-il redevenir fiable ? Malheureusement, la réponse est généralement négative. Une fois qu'un site PKI a été déployé avec de mauvaises pratiques de gestion des clés, il est généralement préférable de recommencer avec une nouvelle stratégie et une nouvelle mise en œuvre. En effet, vous ne savez pas si vos clés ont déjà été compromises.

Il existe un risque potentiel qu'une copie non sécurisée de l'un de vos certificats essentiels ait déjà été téléchargée ou stockée dans un endroit non sécurisé, ce qui pourrait être compromis ultérieurement. Pour cette raison, il est probablement préférable de refaire une conception correcte et de recommencer à zéro.

N'essayez pas de suivre cette voie seul. Si vous découvrez qu'il est peut-être temps de mettre à jour votre site PKI, Keyfactor dispose d'une équipe d'experts PKI prêts à vous aider. Nous pouvons déployer les meilleures pratiques de l 'infrastructure PKIaaS qui vous apporteront le niveau de confiance dont vous avez besoin pour savoir que vos données et vos applications sont sécurisées et fiables.