Des durées de vie plus courtes, des écarts de risque plus importants : Préparer le passage aux certificats de 90 jours TLS

C'est reparti. Le 3 mars, Google a annoncé une proposition visant à réduire la durée de vie des certificats publics TLS de 398 jours actuellement à 90 jours seulement. C'est du déjà vu pour les équipes informatiques et de sécurité qui ont assisté à un raccourcissement constant de la durée de vie au cours des dernières années.

Cutting back the lifespan of digital certificates means that enterprises really need to level up their certificate management game. That means ensuring optimal visibility to quickly catch expiring certificates before they become problematic and cause costly outages and downtime.  

Here we share the implications of Google’s “Moving Forward, Together” project and how you can best prepare for the changes ahead.

Des cycles de vie plus courts nécessitent une gestion plus fréquente des certificats

Enterprises are issuing certificates at a large scale, and according to Keyfactor’s annual State of Machine Identity report, the average volume of certificates issued within an organization is 256,000. But more certificates can lead to more problems if a company can’t manage them. 

Almost two-thirds (62%) of respondents said they don’t actually know how many certificates they have. Without visibility, they can’t easily determine who owns these certificates, who issued them, or what applications or servers they are installed on. The problem will only be compounded with shorter certificate lifespans because 72% say the growing use of keys and certificates is putting increased pressure on their teams.

Ce ne sont pas les certificats qui posent problème. C'est tout simplement la nature humaine. Les gens sont oublieux et ne peuvent concentrer leur attention que sur un nombre limité de choses. Il est important de s'en souvenir alors que la durée de vie des certificats diminue et que la charge de travail liée à leur renouvellement est multipliée par 4 ou 5.

Gagner en sécurité ou souffrir sur le plan opérationnel

Le projet "Moving Forward, Together" de Google comprend plusieurs propositions de modifications, dont la plus importante pourrait être la durée maximale de validité des certificats, fixée à 90 jours. L'objectif de cette modification est d'améliorer la sécurité en rendant le certificat disponible pendant une période plus courte. Il s'agit d'un concept similaire à celui qui consiste à changer fréquemment de mot de passe. 

Toutefois, la question de savoir si le gain en termes de sécurité vaut la peine de souffrir sur le plan opérationnel a fait l'objet de débats. C'est pourquoi on cherche à alléger la charge opérationnelle en automatisant les tâches liées aux certificats, telles que l'inscription, le renouvellement et l'approvisionnement. 

Si l'ACME peut aider les organisations à commencer à adopter l'automatisation, il ne s'agit pas d'une solution universelle. Les équipes informatiques et de sécurité ont besoin d'une approche multidimensionnelle de l'automatisation, y compris l'utilisation de protocoles d'inscription standard comme ACME, SCEP et EST, ainsi que d'outils d'automatisation du cycle de vie des certificats, afin de s'assurer qu'elles sont bien équipées pour gérer l'ensemble des cas d'utilisation dans leur entreprise. 

Ils doivent également s'assurer que non seulement le renouvellement est automatisé, mais aussi l'approvisionnement et l'installation des certificats. C'est là que nous voyons souvent des problèmes surgir. Un propriétaire d'application renouvelle un certificat, mais oublie de l'installer, l'installe de manière incorrecte ou perd tout simplement des heures de son temps qui pourraient être consacrées à ses priorités. L'automatisation du cycle de vie complet d'un certificat permet de réduire ces erreurs humaines et de diminuer, voire d'éliminer complètement, le temps consacré à des tâches répétitives et fastidieuses comme celles-ci.

Cessez de paniquer et commencez à vous préparer

L'incertitude règne quant à savoir quand - et si - le passage à des certificats de 90 jours aura lieu. Le changement nécessite un vote qui pourrait prendre de six à douze mois, suivi d'une période de transition. En outre, le changement se heurte déjà à l'opposition des lois antitrust de l'UE.

The only constant is change when it comes to security, and it’s just a matter of how and when that change will play out. Preparing for a change like this doesn’t happen overnight, and it takes time and careful planning. 

Quelles mesures les entreprises peuvent-elles prendre pour se préparer ? Il s'agit exactement des mêmes mesures que vous devriez déjà prendre pour vos certificats de 398 jours :

• Visibility: Develop an understanding of where all the certificates live across your network.
• Accountability: Define certificate ownership and delegate responsibility for the lifecycle of the certificate. 
• Policy and process: Simplify certificate requests and approvals with self-service enrollment.
• Automation: Automate the entire lifecycle with alerts, renewals, and provisioning. 

Remember, automation is more than just getting the certificate to the asset. It’s configuring the asset to use the certificate and then reporting back that the certificate has been updated and is now being used by the device. Then, if something has not gone according to plan, you’ll have time to be able to react and take remediation actions.

To learn more about the impact of Google’s “Moving Forward, Together” project and how Keyfactor can help you prepare for shortened certificate lifespans, watch the on-demand webinar The Shift to 90-Day TLS Certificates: How to Prepare.