Le bon moment pour générer une RSC : Un guide pour une gestion plus intelligente des certificats

Comment faire en sorte que tous les certificats de votre organisation respectent les mêmes règles de sécurité ? Pour de nombreuses équipes, c'est plus facile à dire qu'à faire. La bonne nouvelle : vous disposez déjà d'un moyen intégré d'assurer la cohérence : Les demandes de signature de certificat (CSR).

Une RSC permet de normaliser la taille des clés, les algorithmes et les champs d'identité afin que chaque certificat réponde aux exigences de sécurité et de conformité de votre organisation.

You’ll generate a CSR whenever you need a new certificate from a certificate authority (CA). Once approved, the CA provides the certificate containing the public key and identifying information, while the private key remains secure on the requester’s system. CSRs are required at multiple stages of the certificate management lifecycle: issuance, renewals that involve new key pairs, or when upgrading your organization to new cryptographic standards, among others.

Quand devez-vous générer une RSE ?

Dans cet article, nous allons déterminer à quel moment du cycle de vie de la gestion des certificats vous pouvez avoir besoin d'un certificat et comment utiliser les CSR pour une mise en œuvre cohérente des politiques au sein de votre organisation.

Quand générer un RSC ?

Le cycle de vie de la gestion des certificats comporte plusieurs étapes au cours desquelles vous devrez demander un nouveau certificat ou une mise à jour.

Première émission

You’ll generate a new CSR the first time you need a certificate to stand up a new web server, VPN, or internal application. For example, requesting a TLS certificate from a public CA like DigiCert or Let’s Encrypt requires a CSR as the input.

Ajoutez toutes les nouvelles CSR à l'inventaire des clés PKI de votre organisation, afin de pouvoir contrôler le moment où elles doivent être renouvelées.

Renouvellements avec du nouveau matériel clé

Les certificats arrivant à expiration doivent être renouvelés ou retirés, et de nombreuses politiques exigent le renouvellement simultané des clés. Lorsque vous avez besoin d'une nouvelle paire de clés, vous avez besoin d'un nouveau certificat. La génération d'une nouvelle RSC signifie que la nouvelle clé privée est unique, ce qui empêche la réutilisation cryptographique.

Si des clés ont été exposées lors d'une violation de données, vous devez renouveler tous les certificats concernés afin d'empêcher tout accès non autorisé. En fait, c'est comme changer de mot de passe pour s'assurer qu'une personne possédant un mot de passe (ou une clé) périmé ne puisse pas accéder à vos ressources.

Amélioration de la puissance cryptographique

In addition to renewing certificates, you can (and should) upgrade the protective algorithms used by your organization. Cryptographic algorithms are evolving as decryption technologies mature, forcing organizations to update their algorithms or risk data breaches and other security incidents when outdated algorithms are decrypted.

La clé publique change lorsque votre organisation passe d'un algorithme à l'autre, ce qui nécessite une nouvelle CSR pour obtenir un certificat mis à jour. Ces mises à jour continueront d'être populaires car les algorithmes les plus faibles deviennent obsolètes et donc plus risqués.

Another reason organizations need to consider upgrading algorithms is post-quantum cryptography (PQC), which covers how cryptography will need to evolve when quantum computing is mature enough technology. Most algorithms would be decrypted by quantum computers in no time at all, meaning your organization should already be reviewing its cryptographic algorithms in preparation for PQC. Get rid of certificates using outdated algorithms in favor of more secure ones.

Migrations d'AC ou d'infrastructures

When an org changes its PKI infrastructure, including transitioning from an on-premises solution to the cloud, the CA hierarchy changes. Every system will need to generate a CSR again to re-establish trust.

Assurez-vous d'avoir pris en compte tous les certificats existants avant une migration importante de l'autorité de certification ou de l'infrastructure, et mettez-les à jour le plus rapidement possible (à l'aide d'un outil automatisé).

Environnements automatisés DevOps

Lorsque vous automatisez votre pipeline DevOps, vous aurez besoin d'un grand nombre de certificats temporaires de courte durée. Les charges de travail Kubernetes utilisent généralement les protocoles Automated Certificate Management Environment (ACME) ou Enrollment over Secure Transport (EST) pour générer dynamiquement des CSR et demander des certificats de courte durée. Le processus se déroule à la vitesse de la machine, mais le principe est le même : une CSR est toujours nécessaire pour chaque certificat.

Assurez le bon fonctionnement de vos pipelines DevOps en automatisant la génération de RSE en même temps que d'autres processus.

IoT et identité des appareils

Internet of things (IoT) devices generate CSRs locally during manufacturing or provisioning to confirm their identities and get certificates. For example, a smart medical device generates a CSR to request its identity certificate before it can connect to a hospital network.

Veillez à évaluer les algorithmes de sécurité afin de vous assurer que les appareils IoT n'exposent pas les utilisateurs à des risques d'incidents de sécurité.

Comment les RSE sont-ils générés ?

Generating a CSR is vital to protecting the root of trust for every certificate your organization uses, particularly for purposes like code signing. When you generate a CSR, you’re essentially creating a new key pair. The public half of the pair goes in the request, and the private half stays local.

Le processus comporte deux étapes fondamentales :

1. Generate a CSR. CSRs bundle details like the Common Name (CN), Subject Alternative Names (SANs), organizational details, and sometimes extensions like key usage or signature algorithms. Ensure your CSRs are set to the proper algorithms and match the settings used across your organization.
2. L'autorité de certification délivre un certificat. L'autorité de certification vérifie les informations contenues dans votre CSR, la signe et délivre un certificat qui lie la clé publique à une identité.
   • Si la CSR est mal formée (mauvais SAN, algorithmes faibles), l'autorité de certification la rejette ou délivre un certificat qui ne répond pas aux exigences de sécurité et de conformité. 

Once this process is complete, your secure certificate should be updated. Ensure the certificates are stored securely, and test to ensure they meet your organization’s security and compliance requirements.

Pièges courants (et solutions suggérées) de la génération de la RSE

Lorsque vous générez une RSC pour appliquer des politiques de sécurité au sein de votre organisation, vous incluez de nombreuses données que l'autorité de certification doit vérifier. Si ces données sont manquantes ou incorrectes, votre entreprise risque de ne pas pouvoir émettre ou renouveler des certificats vitaux avant leur expiration.

Voici quelques pièges courants de la RSE et des solutions suggérées.

Comment la génération de CSR s'inscrit-elle dans une gestion mature des certificats ?

Le cycle de vie de la gestion des certificats est massif, intégré et entremêlé dans les environnements modernes, et vital pour le bon déroulement des opérations. Chaque certificat doit être demandé, émis, suivi, déployé, renouvelé avant expiration et finalement retiré. La plupart des organisations gèrent des dizaines de milliers, voire des millions de certificats. Les certificats mal gérés deviennent des sources de failles de sécurité et de pannes qui coûtent des milliers d'euros aux entreprises.

La génération de CSR est une étape critique pour garantir que vos certificats sont valides, à jour et sécurisés. Les processus de découverte et d'inventaire permettent de s'assurer que chaque certificat est pris en compte, mais ce sont les CSR qui sont à l'origine des nouveaux certificats. Les outils de gestion des certificats doivent permettre d'automatiser la génération de CSR dans la mesure du possible.

Mature, automated workflows extend from CSR creation throughout the entire certificate lifecycle: issuance, provisioning, renewal, and revocation. The easiest place to enforce your organization’s certificate governance policies, from key size to algorithm choice, is before the certificate is issued. Generating a CSR with the right settings and information will ensure resulting certificates can pass security audits.

Treat CSR generation as an automated, policy-driven process. Keyfactor Command certificate management can help by discovering every certificate, automating renewals, and preventing costly outages, all from a single platform built to scale. Simplify your PKI operations and give your team time back to focus on what matters.