Pourquoi 2023 a été l'année des clés perdues (et comment faire mieux en 2024)

Alors que les prédictions sur la cybersécurité pour 2024 se succèdent à un rythme effréné à cette période de l'année, j'ai pensé qu'il serait intéressant de revenir sur 2023, car il y a d'importantes leçons à tirer et des erreurs à ne pas répéter.

Objectivement, 2023 n'a pas été une bonne année pour la sécurité. Il y a eu plus d'attaques et de violations que jamais, ce qui a entraîné l'exposition d'une quantité sans précédent de données et d'enregistrements. La confiance dans les organisations a été perdue et les réputations ont été ternies. Et pour couronner le tout, les douze derniers mois ont également été marqués par une augmentation significative des attaques de logiciels malveillants. 

Why 2023 was “the year of the lost keys“

If I focus more closely on the areas around certificates and PKI, I might call 2023 “the year of the lost keys.” 

One of the primary reasons malware is still installed is because it generally depends on legitimately created code signing keys that are stolen and used to sign the malware. We saw this in cases where Github, Microsoft, and Intel were the targets of abuse to sign either fake drivers or malware. 

But, that is not the worst of it. In my opinion, the most serious case of a “lost key” was the compromise of a so-called “MSA Key” from Microsoft, which resulted in foreign actors gaining access to 25 organizations’ email accounts, including the US Department of State and Commerce. It’s remarkable that these keys were not stored on an HSM! 

While the CA/Browser Forum introduced new measures this year to protect code signing keys by requiring them to be created and stored in hardware, there are still a number of keys that are lying around on servers and desktops that could but used to propagate malware in the next few years.   

Nouvelle année, nouvel engagement en faveur de la sécurité

Ne faisons pas de 2024 la suite de "l'année des clés perdues". Comme le dit le proverbe, la prévention est souvent le meilleur remède, ce qui signifie que les organisations devraient examiner de près les clés dont elles disposent, l'endroit où elles sont stockées et la manière dont elles sont sécurisées. 

Common sense tells us that keeping your house keys under the front doormat (or one of those fake rocks) is not a good approach to securing your home and personal property. Similarly, if your enterprise keys are lying around, you’re just leaving the door open to trouble.

If you’d like to learn how Keyfactor can help you start the new year on securing footing, let’s connect. In the meantime, I hope you have a happy, healthy, (and secure) holiday season.