Upgrading Your PKI: Comment établir une confiance sans limites

L'infrastructure à clé publique (PKI) est désormais une solution bien établie pour établir la confiance dans le monde numérique. Toutefois, les cas d'utilisation de PKI ont considérablement changé au cours des décennies écoulées, et ils continuent d'évoluer rapidement.

Par exemple, l'augmentation des politiques multi-cloud et de travail à distance a déplacé l'objectif de sécurité de la protection du périmètre vers la sécurisation de tout ce qui utilise des identités de confiance. Malheureusement, les déploiements traditionnels de PKI ne peuvent pas suivre cette évolution.

Against this backdrop, what do enterprises need to know about upgrading their PKI to meet more modern use cases? To learn more, we recently sat down with Harry Haramis, SVP of Cloud & SaaS Marketplaces at Keyfactor, and Steven Duckworth, Chief Microcomputer Tech Support Specialist at Erie 1 BOCES.

Click here to watch the full conversation, or read on for highlights.

L'évolution du rôle de PKI dans l'entreprise

PKI est une infrastructure critique dans l'entreprise d'aujourd'hui, qui s'efforce désormais d'établir la confiance à travers une variété de cas d'utilisation numériques qui ne concernent pas seulement les personnes, mais aussi les machines. Parmi les cas d'utilisation les plus courants dans l'entreprise moderne, on peut citer

• SSL/TLS certificats pour les serveurs web
• Authentification mutuelle et cryptage pour les appareils de l'internet des objets (IoT)
• Authentification aux réseaux Wifi
• Certificats éphémères pour les services multi-cloud tels que les conteneurs et les charges de travail
• Signatures numériques et cryptage pour un courrier électronique sécurisé sur tous les appareils
• Accès sécurisé pour les applications et les appareils mobiles
• Authentification entre les routeurs et les pare-feu pour les périphériques de réseau
• Signatures sur les conteneurs et software builds pour les équipes DevOps

Deux domaines, en particulier, qui connaissent le plus grand pic d'activité sur PKI sont DevOps et les appareils mobiles, car les organisations se modernisent sur l'infrastructure en nuage et de plus en plus d'employés travaillent à distance en utilisant une variété d'appareils.

Malheureusement, les déploiements PKI que la plupart des entreprises utilisent encore sont trop complexes, coûteux et ne peuvent pas s'adapter à ces nouveaux cas d'utilisation. Ils s'appuient sur une infrastructure obsolète, lente et incapable de répondre aux exigences des nouveaux cas d'utilisation tels que les migrations dans le nuage, le travail hybride et les appareils IoT . En outre, elles ont tendance à s'appuyer sur des outils disparates qui limitent la visibilité des équipes de sécurité sur les certificats et les politiques dans l'ensemble de l'organisation, ce qui complique la gestion des certificats et permet d'éviter des problèmes tels que les pannes.

Outre les problèmes d'infrastructure, de nombreuses équipes ne disposent pas des ressources nécessaires pour maintenir ces programmes PKI , car les personnes possédant les compétences spécialisées PKI sont difficiles à trouver et encore plus difficiles à retenir.

L'obstacle le plus courant sur PKI : l'héritage Microsoft CA

L'un des défis les plus courants auxquels les entreprises sont confrontées dans leurs efforts de modernisation de PKI est la dépendance continue à l'égard des anciennes autorités de certification de Microsoft, également connues sous le nom d'Active Directory Certificate Services (ADCS).

Microsoft CA existe depuis 2000, et bien que nous ayons vu de multiples itérations au fil des ans, peu de choses ont changé depuis sa sortie. Par conséquent, lorsque les organisations tentent d'utiliser cette solution vieille de plus de 20 ans pour répondre aux besoins modernes de PKI , elles se heurtent à de sérieux obstacles :

• • Operational challenges: Microsoft CA only allows one CA per server. At a time when organizations need to issue new certificates from a variety of CAs on a daily basis, this creates an overly complex footprint at scale.
  • Limited integrations: While Microsoft CA integrates well with on-premise Microsoft infrastructure, that’s where it ends. This lack of integration support doesn’t work well as organizations move to a multi-cloud environment.
  • Lack of support: Microsoft is well aware of these limitations and is no longer actively supporting or developing Microsoft CA, meaning that the gap between the limitations of the solution and modern use cases will only continue to widen.

Heureusement, il existe plusieurs moyens de mettre en place une infrastructure PKI moderne dans le nuage :

• Managed PKI: The PKI infrastructure is deployed, hosted, and managed by an experienced third party in the cloud. Handing infrastructure and management over to a third party means companies don’t need to worry about having any PKI expertise in-house and can simply consume the certificates that come from the program.
• SaaS/Cloud PKI: The PKI infrastructure is deployed, hosted, and managed by the organization in the cloud. In this case, the backend infrastructure is hosted and maintained by a third party, but the company manages their own program as far as issuing certificates, developing policies, and leading ongoing lifecycle management.
• Hybrid PKI: The PKI infrastructure is deployed, hosted, and managed on-premise and integrated with cloud services. This approach requires internal expertise in PKI configuration as well as ownership over servers and other infrastructure pieces. Hybrid PKI is best suited for situations like manufacturing, where companies don’t want to depend on internet connectivity in a remote factory, but then need access to those devices (via the internet) to renew certificates and provide ongoing firmware updates once they’re in the field.

Même pour les organisations qui passent à l'informatique dématérialisée avec Microsoft Azure, ces défis constituent un obstacle majeur, car Microsoft ne dispose pas d'une solution PKI dans l'informatique dématérialisée.

Trouver la voie de la modernité PKI Dans l'informatique dématérialisée

Dans le cadre du processus d'évaluation, il est important que les entreprises prennent en compte des besoins tels que les exigences de confiance pour les AC publiques ou privées, les niveaux de sécurité et d'assurance, les cas d'utilisation à prendre en charge, l'évolutivité et la disponibilité des solutions PKI , ainsi que l'expertise requise pour mettre en œuvre et maintenir le programme PKI . Il est tout aussi important de tenir compte de la phase actuelle de maturité de l'organisation en matière d'informatique dématérialisée (ainsi que des plans futurs) pour comprendre ce qui doit rester derrière un pare-feu et ce qui peut être transféré dans l'informatique dématérialisée.

Sécuriser la main-d'œuvre à distance avec PKI: comment Erie 1 BOCES y est parvenu

Erie 1 BOCES est une coopérative scolaire publique de l'État de New York. Lorsque COVID est apparu, la demande de gestion à distance des ordinateurs portables des étudiants et du personnel a créé un tout nouvel ensemble de besoins. Erie 1 BOCES utilisait déjà Azure Active Directory et Office 365, la prochaine étape logique était donc d'introduire Microsoft Intune pour la gestion des appareils de l'entreprise.

However, the team quickly realized they would still need a third-party solution to issue and manage certificates to authenticate the remote devices, for example on Wifi networks. This need led the Erie 1 BOCES team to PrimeKey EJBCA Enterprise, a comprehensive PKI solution available in the Azure Marketplace.

Comme l'explique Steven Duckworth, spécialiste en chef de l'assistance technique micro-informatique à Erie 1 BOCES, EJBCA répondait parfaitement aux besoins de l'équipe en raison de ses capacités :

• Permettre un service partagé pour les utilisateurs finaux, y compris Erie 1 BOCES et d'autres districts scolaires
• Réduire la complexité de PKI , en prenant en charge plusieurs domaines
• Offrir un haut niveau d'évolutivité pour l'émission de certificats sur des milliers d'appareils (sans frais par certificat).
• Assurer la continuité des environnements virtualisés et en nuage
• Fournir un soutien actif aux fournisseurs pour suivre l'évolution de l'infrastructure en nuage.

L'équipe a également trouvé une grande valeur dans le fait que EJBCA lui permettait de mettre en œuvre et de maintenir son programme PKI en interne tout en profitant de l'expertise d'un partenaire.

Aujourd'hui, Erie 1 BOCES fournit PKI en tant que service partagé en utilisant EJBCA dans son centre de données. L'équipe a également trouvé une valeur significative dans l'intégration directe avec Intune, qui lui permet d'émettre des certificats aux postes de travail des utilisateurs finaux afin qu'ils puissent facilement valider sur les réseaux sans fil internes d'Erie 1 BOCES. En arrière-plan, des nœuds EJBCA dédiés gèrent également les services de l'autorité de validation et la révocation des certificats afin de couvrir l'ensemble du cycle de vie des certificats.

Vous souhaitez en savoir plus ?

If you’re interested in learning more about how a modern PKI program can help you build trust without boundaries, and how organizations like Erie 1 BOCES have made that vision a reality, click here to watch the full webinar on upgrading your PKI featuring Keyfactor and Erie 1 BOCES.