Risques réels d'une mauvaise gestion des clés publiques

When you don’t have a solid grip on Public Key Infrastructure (PKI), things break fast and often without warning.

La croissance de votre entreprise s'accompagne de celle de votre infrastructure et de l'empreinte de vos clés publiques. Sans surveillance centralisée, la prolifération des clés devient inévitable. Cela s'accompagne de lacunes en matière de visibilité, de processus de révocation incohérents, d'un risque opérationnel croissant et d'une forte probabilité de violation. 

Les RSSI et les responsables informatiques doivent cesser de considérer l'PKI comme une tâche secondaire et commencer à la considérer comme une couche essentielle de la sécurité de l'entreprise. Donner la priorité à une bonne hygiène des clés ne permet pas seulement de réduire les risques opérationnels, mais aussi de protéger la confiance des clients et de positionner l'entreprise sur la voie de la résilience à long terme.

Consider the Microsoft breach disclosed in June 2023. It originated in 2021, when a crash dump from a Microsoft consumer signing system unintentionally included a cryptographic key used for signing authentication tokens. Due to improper security scanning and storage practices, the dump was later accessed from an internet-connected environment. Attackers then retrieved the key and used it to forge valid JSON Web Tokens (JWTs), allowing them to bypass Microsoft’s authentication systems, impersonate users, and gain unauthorized access to Microsoft 365 services.

Même après l'invalidation de la clé par Microsoft, certains accès ont persisté en raison de jetons à longue durée de vie qui n'ont pas été correctement suivis ou révoqués. Cela a permis de prolonger la fenêtre d'attaque et d'augmenter le risque de mouvement latéral dans les environnements en nuage.

La plupart des ingénieurs et des équipes de sécurité comprennent l'importance des clés publiques, alors pourquoi une mauvaise gestion se produit-elle encore ?

Voici pourquoi cela se produit

Propriété fragmentée et informatique fantôme

La question de savoir à qui appartiennent les clés publiques et les certificats est débattue depuis des années, en particulier dans les entreprises qui ne disposent pas d'une équipe dédiée à l'PKI .

Some developers argue that the network admin should purchase and manage SSL certificates, then hand them off to the web developer to install. Others say web devs shouldn’t touch public keys with a 10-foot pole because “it’s not part of their core skills.”

D'autres insistent sur le fait qu'il s'agit d'une responsabilité DevOps ou sysadmin, tandis que d'autres encore affirment qu'elle est trop critique pour être confiée à quelqu'un d'autre que le bureau du directeur de la technologie ou du responsable de la sécurité des systèmes d'information.

Cette ambiguïté crée un risque institutionnel. Lorsque la seule personne officieusement responsable s'en va, personne ne sait quels certificats arrivent à expiration, lesquels sont obsolètes, ni où les clés sont stockées. Il en résulte des chaînes de confiance rompues, des services perturbés et des efforts de reprise précipités.

Suivi manuel et inventaires incomplets

Some IT and security teams still rely on Google Calendar, Excel spreadsheets, Snipe-IT, homemade PowerShell scripts, IT Glue, and even scheduled help desk tickets to track and manage public keys and certificates. This approach may have been feasible when certificates lasted two or three years and companies only managed a handful. But with Google proposing a 90-day certificate validity period, teams still doing this manually will be dangerously overwhelmed, and at far greater risk of public key mismanagement.

Manque d'intégration entre les systèmes en nuage et les systèmes sur site

Les modèles PKI se répartissent généralement en trois catégories : les utilisateurs "all-cloud", les utilisateurs "on-prem-only" et les utilisateurs hybrides.

Certaines équipes préfèrent l'PKI basée sur le cloud pour son évolutivité, son automatisation et la réduction de la maintenance des serveurs. Cependant, elle introduit souvent un verrouillage des fournisseurs, une intégration limitée et un contrôle réduit sur les autorités de certification (AC) racine ou intermédiaires.  

On-prem PKI gives you full control over templates, key sizes, and policies. But it demands intensive manual upkeep, specialized staff, and resilient infrastructure. 

Il y a ensuite le modèle hybride, nuage + sur site, que certains utilisateurs considèrent comme la solution intermédiaire la plus logique. Mais le modèle hybride pose des problèmes d'intégration complexes.

Par exemple, si les certificats 802.1X expirent dans 10 heures mais que la liste de révocation des certificats (CRL) est mise à jour toutes les 12 heures, un décalage temporel apparaît. Dans les configurations hybrides qui s'appuient sur la CRL ou l'OCSP pour valider les certificats, les certificats révoqués peuvent encore être approuvés, ce qui introduit un risque évitable.

Similarly, issuing certificates on-prem while managing devices in the cloud often requires exposing internal PKI components—such as CRLs or OCSP responders—to the internet. This adds complexity and expands the attack surface. Even with strict isolation, limited visibility, and manual processes, create blind spots and slow response times.

Les coûts cachés de la mauvaise gestion des clés publiques

Pour la plupart des entreprises, les dommages causés par une mauvaise gestion d'une clé publique peuvent être classés en trois catégories :

Coûts directs (pertes immédiates et mesurables)

Lorsqu'une clé ou un certificat expire ou est mal configuré, les systèmes critiques tels que les sites Web, les API, les VPN ou les services d'authentification peuvent tomber en panne. Les équipes internes perdent l'accès aux outils, aux fichiers ou aux flux de travail liés aux clés expirées ou révoquées, ce qui ralentit la productivité jusqu'à ce que le problème soit résolu. 

Dans des secteurs tels que le commerce électronique ou la finance, chaque minute d'indisponibilité peut coûter des milliers, voire des millions de dollars. De plus, elle déclenche des mesures correctives d'urgence, qui peuvent entraîner des heures de services professionnels coûteux.

Coûts indirects (impact à plus long terme sur les entreprises)

Les clés non tracées ou mal utilisées violent les réglementations en matière de sécurité et de confidentialité telles que PCI-DSS, HIPAA ou GDPR. Cela peut conduire à des amendes réglementaires.

En outre, les clients, les investisseurs et les partenaires considèrent les clés mal gérées, les certificats expirés ou les pannes comme des signes d'une mauvaise hygiène de sécurité. Ce qui peut éroder la confiance, surtout après un incident public.

Coûts d'opportunité (avantages stratégiques manqués)

La gestion manuelle des certificats est l'une des principales causes de mauvaise gestion des clés publiques, et elle ralentit les pipelines CI/CD et l'adoption du cloud. Les ingénieurs doivent passer du temps à renouveler les certificats, à rechercher des emplacements clés ou à déboguer les problèmes de PKI , au lieu de pousser le code ou de lancer des fonctionnalités. De plus, une PKI peu fiable menace les investissements technologiques et les partenariats potentiels. 

Principes d'une gestion efficace des clés publiques

Visibilité centralisée des clés et des certificats

Sans inventaire central, votre équipe risque de perdre la trace des certificats dispersés dans les charges de travail en nuage, les conteneurs, les terminaux des utilisateurs et les systèmes tiers. Les certificats fantômes expirent discrètement, les clés non autorisées sont réutilisées et les processus de révocation deviennent aléatoires.

Centraliser la visibilité :

• Création d'une source unique de vérité pour chaque clé et certificat actif dans l'environnement
• Permet une surveillance en temps réel pour détecter rapidement les mauvaises configurations ou les anomalies.
• Améliore les capacités d'audit pour répondre aux exigences de conformité

Cette base permet une réponse plus rapide en cas d'incident et réduit le risque de fuite de certificats non suivis ou de clés non gérées dans les pipelines CI/CD.

Automatiser la gestion du cycle de vie des certificats

La gestion manuelle des certificats n'est pas évolutive. S'appuyer sur des ingénieurs ou des administrateurs système pour renouveler, révoquer ou déployer des certificats introduit des erreurs humaines, des retards opérationnels et même des pannes dues à l'expiration. 

C'est là que l'automatisation entre en jeu.

Automatic certificate lifecycle management tools like Keyfactor Command take the burden off individual teams and reduce the risk of downtime. By automating the issuance, renewal, and revocation of certificates, you can:

• Assurer la délivrance, le renouvellement et la révocation en temps voulu sans intervention manuelle.
• Réduire les pannes causées par des certificats oubliés ou mal configurés.
• Libérez vos équipes d'ingénierie et de sécurité pour qu'elles se concentrent sur des tâches à plus forte valeur ajoutée.

L'automatisation permet également d'appliquer une politique cohérente, d'éliminer les configurations faibles et d'améliorer l'hygiène cryptographique globale dans tous les environnements.

Mise en œuvre des politiques Crypto-Agile

La cryptographie statique, codée en dur, peut rendre vos systèmes vulnérables lorsque les algorithmes deviennent obsolètes ou sont compromis.

Crypto-agility means being able to adapt quickly by deploying new or multiple algorithms. It requires:

• Systèmes permettant de changer d'algorithme ou de taille de clé sans avoir besoin d'une refonte complète.
• La possibilité d'éviter le verrouillage d'outils ou de bibliothèques obsolètes
• Conformité avec les exigences réglementaires qui s'orientent vers des protocoles de cryptage plus puissants.
  
  

Exigez la flexibilité des algorithmes dans vos politiques d'utilisation des clés et insistez auprès des fournisseurs pour qu'ils prennent en charge les capacités crypto-agiles. Vous renforcerez ainsi la capacité de votre organisation à s'adapter aux menaces et aux risques futurs.

Mauvaise gestion des clés publiques = risque pour l'entreprise

Mismanaging public keys isn’t just a technical oversight; it’s a business risk. When organizations lack visibility, automation, and governance across their PKI, they open the door to outages, compliance failures, and reputational damage that could’ve been avoided. That’s why CISOs and IT leaders must recognize that this is a critical layer of enterprise security. Prioritizing strong key hygiene reduces operational risk, maintains customer trust, and positions your organization for long-term resilience.