Sécuriser PKI et les identités des machines dans l'entreprise moderne

Lorsqu'il s'agit de gérer et de sécuriser les identités et les informations d'identification d'une entreprise, on pense surtout aux personnes et à leur rôle au sein de l'organisation. Comment s'assurer que Janet, de l'assurance qualité, dispose des informations d'identification nécessaires pour accéder aux ressources requises, et comment s'assurer que personne d'autre ne peut accéder à ces informations d'identification ?

Mais les identités humaines ne sont qu'une pièce du puzzle de la sécurité. Alors que les employés, les partenaires, les fournisseurs, les clients et les consultants peuvent constituer certaines des sources les plus cruciales de vulnérabilités en matière de sécurité dans votre organisation, le volume des identités des machines augmente, ce qui crée des points d'entrée supplémentaires pour les pirates et les logiciels malveillants.

The 2022 State of Machine Identity Report from the Ponemon Institute (from which we get the statistics below unless otherwise noted) reveals the latest data on just how complex machine identity management can be.

Qu'est-ce que l'identité des machines ?

Machine identities are the digital keys, secrets, and certificates that establish the validity of digital transactions. They include X.509 certificates, SSH and encryption keys, and code signing certificates for secure communication between servers and VMS, workstations, scripts and bots, applications, services, etc.

L'infrastructure à clé publique explose

With the adoption of remote work, cloud-based services, IoT, and Zero Trust initiatives, the number and importance of public keys and certificates being used by organizations is increasing rapidly. The days of one or two CAs behind the four walls of the data center are behind us, and managing machine identities should be at the forefront of your security posture. In the Gartner Hype Cycle for IAM report in 2021, Gartner Managing VP Tricia Phillips said:

"La transformation numérique a entraîné une explosion du nombre de machines - telles que les charges de travail, le code, les applications et les conteneurs - qui doivent s'identifier et communiquer."

Les éléments les plus courants de PKI sont les suivants :

• Privé interne PKI software (AD CS, EJBCA, etc.)
• PKI géré ou fourni par SaaS (EJBCA SaaS, PKIaaS, etc.)
• Certificats auto-signés (OpenSSL)
• Émetteurs de certificats intégrés (Kubernetes, HashiCorp Vault, etc.)
• Service d'AC privée fourni par un fournisseur de services en nuage
• Service d'AC publique (DigiCert, Entrust, Let's Encrypt, etc.)

S'assurer que les identités des machines sont protégées devient une tâche coûteuse et chronophage. La majorité des organisations déclarent que l'utilisation croissante des clés et des certificats a considérablement augmenté la charge opérationnelle de leurs équipes informatiques et qu'elles s'inquiètent de l'augmentation de la charge de travail et du risque de pannes dus à la réduction de la durée de vie des certificats TLS . 

En outre, plus de la moitié des organisations interrogées déclarent qu'elles ne savent même pas exactement combien de clés et de certificats elles possèdent.

Les risques de l'identification des machines et de la prolifération de PKI

Si elles sont négligées, les identités des machines peuvent créer d'énormes lacunes dans votre sécurité, car toute vulnérabilité peut permettre à un acteur de la menace de se déplacer latéralement d'un système à d'autres sur le réseau.

In the last two years, over 95 percent of organizations have experienced all three of the following PKI-related issues:*

• Audit Failures: Unexpected audit findings due to gaps in PKI, key and certificate management
• Machine ID Compromise: Theft or misuse of keys by mistake, malicious insider, or external threat actor
• Certificate Outages: Application or service failure due to an expired or untracked certificate.

La douleur des pannes de certificat

Because they can bring operations to a halt, certificate outages tend to receive the most focus. Nearly 40 percent of outages take over four hours to identify and remediate, which can be costly and damaging to a company’s reputation. The Let’s Encrypt outage in September 2021, for instance, affected operations at major corporations like Cisco, Palo Alto, Bluecoat, AWS, Auth0, Fortinet, Heroku, and others.

But outages are just the tip of the iceberg, indicating bigger risks below the surface that need to be addressed, including manual processes, wildcard certificates, weak cryptography, and misconfigured or exposed CAs.

Les machines prennent le pouvoir

"Le nombre de machines (charges de travail et appareils) dépasse désormais celui des humains d'un ordre de grandeur, et les organisations doivent mettre en place des outils et des processus pour contrôler ces identités". - Gartner : Managing Machine Identities, Secrets, Keys and Certificates, Erik Wahlstrom, 16 mars 2022

Si vous n'avez pas l'impression de bien comprendre comment sécuriser votre infrastructure à clé publique, vous n'êtes pas le seul :

• 50 % des entreprises ne disposent pas d'un personnel suffisant pour s'occuper de leurs activités. PKI
• 42% des entreprises utilisent encore des feuilles de calcul pour assurer le suivi manuel des certificats numériques.
• 59% des entreprises n'ont pas de gestion centralisée des identifiants SSH
• 50% des entreprises n'ont pas de politiques formelles ou de contrôles d'accès pour les clés de signature de code

En outre, environ 40 % des organisations n'ont qu'une stratégie PKI limitée à des applications ou des cas d'utilisation spécifiques, et 16 % n'ont pas de stratégie du tout.

Comment aborder le problème

1. Commencer par la visibilité

Vous devez savoir quels certificats vous utilisez pour les sécuriser efficacement. La découverte et la création d'un inventaire de vos certificats et autorités de certification vous permettront de savoir lesquels sont les plus prioritaires.

• Utiliser plusieurs sources de données
• Triangulation des points de données 
• Comprendre les informations clés, notamment l'émetteur, le propriétaire, l'utilisation/l'application, l'approbateur, etc.

2. Établir la propriété

Créez un groupe de travail interfonctionnel pour définir la propriété des outils, des processus et de la stratégie et pour assurer la supervision et combler les lacunes entre les unités opérationnelles. Définissez ensuite les identités des machines pour votre organisation, identifiez les cas d'utilisation de votre site PKI et des identifiants des machines, et analysez votre "tissu d'identités" ou votre ensemble d'outils existants.

3. Simplifier et consolider

Plus il y a d'identités et de sources d'information, plus il y a de possibilités d'erreurs et/ou de vulnérabilités. Une fois que vous avez une bonne idée des outils de gestion PKI à votre disposition, réduisez-les. Posez-vous des questions telles que

• "Ai-je besoin de 5 déploiements différents de PKI et de CA ?
• "Dois-je consulter trois sources différentes pour suivre les certificats ?
• "Ai-je besoin d'outils distincts pour gérer les identités X.509 et SSH ?
• "Tous les développeurs ont-ils besoin d'une clé de signature de code ?

4. Préparer le terrain

Vous devez définir des politiques et des bonnes pratiques pour votre infrastructure à clé publique.

• Sensibiliser les équipes à l'importance de PKI et des certificats numériques
• Définir et diffuser des lignes directrices sur les meilleures pratiques
• Renforcer les bonnes habitudes et abandonner les certificats auto-signés et les certificats wildcard
• Élaborer des stratégies pour prendre les bonnes décisions en matière d'outillage pour l'avenir

5. Passer d'une stratégie Ops à une stratégie SecOps

Most security teams spend at least 50% of their time on maintenance and operational tasks. The key is to automate, automate, automate. Automation decreases risks related to human error and misconfiguration and ensures that you can scale with new demands. Additionally, automation enables integration with existing DevOps and cloud workflows.

6. Se préparer à la crypto-agilité

Security threats adapt quickly to security controls, so you have to be ready to adapt just as fast. To maintain operations and prevent incidents related to PKI, you need to constantly educate yourself and maintain a crypto-agile security posture:

• Évaluer les crypto-clés, les algorithmes et les bibliothèques cryptographiques existants
• Planifier le passage à de nouvelles clés et de nouveaux algorithmes à l'échelle de l'entreprise
• Automatiser et tester les processus pour préparer la réponse aux incidents
• Suivre les progrès des algorithmes PQC

Obtenir le rapport complet de Ponemon

Check out the Ponemon Institute’s 2022 State Machine Identity Management report to stay informed with the latest cybersecurity data and analysis. With an in-depth analysis of the threat landscape for PKI and machine IDs at your disposal, you can make informed decisions about what security measures to put in place to keep your organization safe and operating at full capacity.