Voici une petite anecdote sur la cybersécurité : le million de sites web les plus importants au monde utilisent plus de 2 millions de certificats SSL. 1 million de sites web utilisent plus de 2 millions de certificats SSL . Ces certificats créent un sentiment de confiance - après tout, ne vous sentez-vous pas plus en sécurité lorsque vous visitez un site web avec un petit cadenas dans la barre URL ?
Cependant, ce n'est pas parce qu'un site dispose d'un certificat SSL qu'il est géré correctement. Selon le rapport Keyfactor& Digital Trust de Keyfactor 2024 PKI & Digital Trust Reportde Keyfactor, 37 % des entreprises ont connu une panne liée à un certificat. Les certificats SSL étant couramment utilisés sur les sites web et autres propriétés numériques en contact avec les clients, leur (mauvaise) gestion a un impact direct sur l'expérience des clients.
Tout cela fait de la gestion de SSL un enjeu majeur pour les entreprises et les professionnels de la sécurité !
Les pannes peuvent résulter de diverses attaques, notamment d'une attaque par renégociation du SSL . Une attaque de renégociation SSL peut être particulièrement inquiétante car elle exploite une vulnérabilité du protocole. Nous allons voir ce qu'est une attaque par renégociation du protocole SSL et comment l'automatisation de l'émission des certificats peut être utilisée. l'automatisation des certificats des certificats joue un rôle dans sa prévention.
Renégociation SSL
Pour comprendre ce qu'est une attaque par renégociation SSL , parlons d'abord du protocole TLS . TLS v1.0 et les versions ultérieures disposent d'une fonctionnalité qui permet de renégocier une connexion au cours d'une session active. La renégociation peut avoir lieu lorsque l'authentification du client est requise après la connexion initiale ou lorsque les paramètres de cryptage sont modifiés en cours de session.
La renégociation est une fonction légitime. Il y a de bonnes raisons pour qu'une connexion ait besoin d'être renégociée. Cela étant dit, la renégociation doit être protégée pour éviter que les attaquants ne l'exploitent.
Comment les attaquants exploitent la renégociation
Il y a deux façons d'exploiter la renégociation :
- L'homme du milieu (MitM)
- Déni de service (DoS)
# N° 1 - L'homme du milieu
La première méthode implique un homme du milieu qui injecte des données malveillantes dans une session SSL pendant la renégociation. Voici à quoi cela ressemble :
Alice envoie un ClientHello à Bob pour établir une connexion, mais Mallory - un attaquant - peut intercepter la demande.
Mallory envoie sa propre demande ClientHello à Bob et crée une connexion sécurisée. Mallory lance ensuite une demande de renégociation, mais lorsque Bob entame une nouvelle poignée de main, Mallory transmet un texte clair malveillant, que Bob place dans sa mémoire tampon - sa corbeille - jusqu'à ce que le processus de poignée de main soit terminé.
Mallory transmet ensuite le message ClientHello initial d'Alice à Bob, qui établit une connexion sécurisée. Bob traite le message d'Alice, mais aussi les messages envoyés par Mallory au cours de la poignée de main.
# 2 - Déni de service
La seconde méthode consiste pour l'attaquant à envoyer de multiples demandes de renégociation au serveur, ce que l'on appelle un déni de service (DoS).
Chaque demande initie une nouvelle négociation SSL , qui épuise les ressources du serveur car toutes les autres demandes sont placées dans une mémoire tampon jusqu'à ce que la négociation soit terminée. Le serveur est alors débordé et incapable de se connecter avec les utilisateurs légitimes.
Il y a plusieurs raisons pour lesquelles les attaquants mènent des attaques par déni de service. Les cybercriminels organisés mènent ce type d'attaque contre rémunération. Dans d'autres cas, des hacktivistes politiques attaquent les serveurs d'organisations ou d'entreprises parce qu'elles soutiennent certaines causes.
Comment prévenir une attaque par renégociation SSL ?
Voici une chose dont vous devez vous souvenir : Les attaques de renégociation deSSL ne sont pas inévitables ! Un signe évident d'une tentative d'attaque par renégociation du SSL est la présence de schémas d'utilisation des certificats étranges, tels que des tentatives de renégociation répétées. Lorsqu'un utilisateur essaie de renégocier une session SSL à plusieurs reprises, il est fort probable que quelqu'un essaie de perpétrer une attaque par renégociation SSL . Votre solution de certificat peut fonctionner avec d'autres outils de sécurité de votre boîte à outils pour maximiser votre protection. Les API et les fonctions d'automatisation de votre solution de certificat peuvent s'intégrer à des outils tels que les pare-feu, les systèmes de détection d'intrusion (IDS) et les solutions de gestion des informations et des événements de sécurité (SIEM).
Automatiser le renouvellement des certificats
L'existence d'un grand nombre de certificats SSL rend la gestion manuelle impossible. L'automatisation des certificatsSSL simplifie et rationalise le processus de renouvellement.
L'automatisation signifie que les systèmes utilisent les normes cryptographiques les plus récentes, de sorte qu'il n'y a aucune crainte que les attaquants puissent exploiter les vulnérabilités des systèmes plus anciens. En outre, l'automatisation des certificats facilite l'identification et la révocation d'un certificat compromis.
Moyens d'arrêter les attaques de renégociation SSL
Vous pouvez prendre des mesures pour stopper les attaques de renégociation SSL , mais vous devez tenir compte de certaines considérations.
Désactivation de la renégociation
Vous pourriez désactiver la renégociation, ce qui empêcherait les pirates de lancer des attaques exploitant cette vulnérabilité. Cela dit, la désactivation de la renégociation est une option plus radicale. Il est plus logique d'activer la renégociation pour les serveurs à faible risque dont le trafic est bénin. Toutefois, les serveurs à haut risque nécessitent des contrôles plus stricts.
Activation des demandes de renégociation côté serveur uniquement
Un autre moyen d'empêcher les attaques par renégociation SSL consiste à activer les demandes de renégociation côté serveur uniquement. Toutefois, les pirates peuvent inciter le serveur à initier une demande à votre place, et cette méthode n'est donc pas infaillible.
Renégociation sécurisée
Mise en œuvre de la renégociation sécurisée lie les demandes initiales à toutes les demandes de renégociation via un processus cryptographique. Pour que cela fonctionne, le client et le serveur doivent être configurés pour prendre en charge cette fonctionnalité.
Configuration des limites de débit pour les tentatives de renégociation
Vous pouvez également définir une limite de débit pour le nombre de tentatives de renégociation autorisées. Lorsque le nombre de tentatives de renégociation est trop élevé, le système de gestion des informations et des événements de sécurité (SIEM) intervient et déclenche une alerte de sécurité ou met automatiquement fin à la connexion.
Gestion des certificats pour prévenir les attaques de renégociation SSL
L'organisation de vos certificats est l'une des méthodes les plus importantes pour empêcher les attaques de renégociation SSL . Il existe plusieurs méthodes pour y parvenir. Nous en examinerons deux : les outilsopen-source et les processus manuels, ainsi que leurs avantages et inconvénients.
Outils Open-Source
Il existe sur le marché une variété d'outils open-source qui vous aident à identifier les certificats SSL qui vont bientôt expirer.
Le pour : L'avantage d'utiliser des outils open-source est que les coûts initiaux sont faibles ou nuls.
Les inconvénients : L'utilisation d'outils open-source présente quelques inconvénients notables.
Même si vous n'avez pas besoin d'investir dans un outil open-source lors de sa mise en œuvre initiale, il y a d'autres coûts à prévoir. Votre équipe devra gérer ces outils, et il se peut qu'elle ne bénéficie pas d'une assistance technique lorsqu'elle en a besoin.
Processus manuels
Vos équipes devaient rechercher manuellement les certificats sur le point d'expirer.
Le pour : Vous économisez de l'argent en n'investissant pas dans un software.
Les inconvénients : L'argent que vous avez économisé en n'investissant pas dans un software sera absorbé par le temps que votre équipe consacrera à cette activité.
En outre, quel que soit le nombre de personnes chargées de cette tâche, il est impossible qu' elles trouvent tous les certificats arrivant à expiration. S'ils en oublient un, votre organisation peut être en danger.
Meilleures pratiques : Une solution de gestion centralisée des certificats
La centralisation de la gestion des certificats au sein d'une plateforme automatisée unique résout les problèmes que posent les autres solutions. Cette solution utilise moins de ressources et demande moins d'investissement en temps que les solutions open-source ou les processus manuels.
La gestion centralisée des certificats vous donne une vue en temps réel de tous les certificats de l'organisation, même ceux qui ne sont pas documentés. Cette visibilité unique vous permet d'économiser du temps et des efforts, de sorte que votre équipe peut consacrer plus de temps à ce qui compte le plus.
En outre, les plateformes centralisées peuvent vous aider à mettre en œuvre l'automatisation des certificats. L'automatisation de la gestion du cycle de vie des certificats SSL minimise les problèmes tels que les certificats expirés ou non documentés. Il est également plus simple et plus rapide de révoquer des certificats avec une plateforme centralisée, ce qui vous permet de renforcer votre posture de sécurité et de maintenir la connectivité.
Poser les bases de l'automatisation des certificats avec Keyfactor
Vous pouvez vous protéger contre les attaques de renégociation SSL en vous assurant que vos certificats SSL sont à jour. L'automatisation du cycle de vie des certificats vous permet d'identifier rapidement et facilement les certificats SSL qui vous mettent en danger. Découvrez comment Keyfactor peut vous aider...regardez notre démo maintenant.
