Pourquoi les identités des machines sont importantes (et ce qu'il faut faire)

Le thème de la semaine 4 du Mois de la sensibilisation à la cybersécurité, "La cybersécurité d'abord", offre l'occasion d'aider les professionnels de l'informatique et de l'infosécurité à sensibiliser leurs équipes à l'importance de la cybersécurité. Ce blog se veut un outil pour aider votre organisation à comprendre l'importance de l'infrastructure à clé publique (PKI) et des identités des machines, et le rôle qu'elles jouent pour devenir une entreprise qui donne la priorité à la cybersécurité.

Si vous avez travaillé dans le domaine de la cybersécurité, vous ne la décririez probablement pas comme un art, ni comme une science. Ce n'est pas non plus une série dramatique de Netflix (pensez à Mr. Robot). En réalité, c'est une corvée. 

Protéger les réseaux, les appareils et les données contre les menaces d'attaque n'est pas une tâche facile, et la pression pour garder une longueur d'avance sur les cybercriminels pèse lourd. Parfois, il s'agit d'une poussée d'adrénaline, parfois d'un travail banal et répétitif. 

It can involve responding to tickets, searching for anomalies, reviewing logs, working on long-term strategies, evaluating technologies, and most importantly, educating end-users on the importance of cybersecurity (even when it means answering “stupid” questions).

L'instauration d'une culture de la cybersécurité va bien au-delà de votre pile informatique et des équipes qui la mettent en œuvre. Malheureusement, de nombreux articles se concentrent sur les dernières technologies (la "science") ou sur le manque de personnel qualifié (l'"art") en matière de cybersécurité, mais ils ne reconnaissent pas l'importance de la formation, en particulier pour les utilisateurs non techniques et les chefs d'entreprise.

In this blog, we aim to educate teams about an essential but often misunderstood and overlooked component of cybersecurity – machine identities.

The identities you know vs the identities you don’t

Commençons par quelque chose de familier : l'identité. Notre identité est tout. Elle va de ce que nous sommes à ce à quoi nous avons accès. Chaque jour, les humains s'appuient sur leur identité pour conduire leur voiture, voyager à l'étranger, acheter des biens et des services et accéder à tout, de leur compte Instagram à leur ordinateur portable, au travail ou à la maison.

Our familiarity with identity means that most IT leaders and practitioners recognize and understand the importance of identity and access management (IAM). It’s why organizations spent nearly 14 billion dollars on IAM in 2021, making it one of the top budget items for information security spending amongst cloud and application security.

Jusqu'à présent, l'IAM s'est surtout concentré sur la protection des identités des utilisateurs (ou humains). Pour répondre aux exigences de l'IAM, ils utilisent des outils tels que l'authentification unique (SSO), l'authentification multifactorielle (MFA) et la gestion des accès privilégiés (PAM). 

Le problème est que les humains ne représentent qu'une partie de la main-d'œuvre.

Plus de machines, plus d'identités

Aujourd'hui, les machines sont beaucoup plus nombreuses que les humains. Mais loin des notions de science-fiction d'un futur dystopique dominé par les robots, les machines nous libèrent, nous les humains, des tâches dangereuses, chronophages ou tout simplement ennuyeuses que nous préférerions éviter. 

Ces machines sont composées d'appareils hardware , tels que des appareils mobiles, IoT/OT, des serveurs et des ordinateurs de bureau, et software-de charges de travail définies, y compris des conteneurs, des machines virtuelles (VM), des services et des applications.

Just like humans, each machine needs one or more unique identities to authenticate and securely communicate with one another. Unlike their human counterparts, though, machine identities receive far less attention.

According to Gartner, “Commonly deployed IAM tools such as access management (AM), identity governance and administration (IGA), and PAM tools have historically been geared toward the more imminent need for managing human identities. Equal focus must now be paid to the management and governance of machines.”

Produit de base ou infrastructure critique ?

Lorsque nous commençons à penser à la gestion des identités des machines, telles que les certificats X.509, les choses deviennent floues pour la plupart des gens. Malgré l'utilisation répandue des clés et des certificats par les développeurs, les administrateurs informatiques, les ingénieurs d'infrastructure et autres, on sait très peu de choses à leur sujet. 

Le problème sous-jacent est que les identités des machines et l'infrastructure à clé publique (PKI) qui les sous-tend sont considérées comme des "marchandises". En d'autres termes, tous les membres de l'organisation informatique ont besoin d'un certificat, mais la plupart d'entre eux ne savent pas où se les procurer ni comment les configurer et les installer correctement. Les différentes équipes et les utilisateurs finaux recherchent la solution la plus simple et la moins chère, ce qui entraîne une prolifération incontrôlée d'émetteurs(CA)et de certificats.

Que se passe-t-il ? Que ce soit par un adversaire, un partenaire, un contractant ou un employé interne, les certificats peuvent facilement être mal configurés et mal utilisés. Au cours de l'année écoulée, nous avons constaté plusieurs incidents résultant de l'émission et de l'utilisation incontrôlées d'identités de machines :

• Fortinet, Palo Alto, Cloudflare, and dozens of leading tech companies experienced service issues when the IdenTrust DST Root CA X3 (used by Let’s Encrypt) expired. 
• NSA warned organizations to avoid using wildcard TLS certificates to minimize the risk from a new form of TLS decryption attack known as “ALPACA.” 
• Fortnite experienced a widespread hours-long outage that started with an expired wildcard TLS certificate installed across hundreds of different production services.
• Microsoft a imputé à un problème de rotation des clés une panne de grande ampleur qui a affecté un grand nombre de ses services Microsoft 365 pendant plus de 14 heures.

Taking control of the situation requires a fundamental shift in mentality. PKI and machine identities are not a “commodity,” they are critical infrastructure that underpins the security and availability of virtually every device and workload in the enterprise.

Conseils et stratégies pour démarrer

Comment prendre le contrôle de la situation ? Cela commence par l'éducation et la sensibilisation, puis par l'examen de votre technologie et de vos processus. Tous, des utilisateurs finaux aux responsables informatiques, doivent mieux comprendre l'importance et le rôle des identités des machines dans les initiatives qu'ils entreprennent. Nous avons rassemblé ici quelques conseils et stratégies pour vous aider à démarrer :

Pour PKI et les équipes de sécurité :

• Teach employees within the IT organization about the importance of certificates and how they should be handled. Create cheat sheets and guides for how to obtain certificates, how to ensure they align with policy, and if automation is not in place, how to properly install and renew their certificates.
• Make sure end-users and application teams have a quick and simple way to obtain certificates. If you cannot fulfill certificate requests efficiently for your users, you can bet they will look elsewhere. Self-signed certificates and insufficient built-in CAs (e.g. Kubernetes Secrets, HashiCorp Vault) should not be used blindly.
• Develop your toolset for visibility and automation. Education is where it starts, but it’s the technology that will drive best practices. Evaluate certificate management solutions that provide discovery and lifecycle automation capabilities.

Pour les utilisateurs finaux :

• Avoid using wildcard certificates. Sure, wildcard certificates are a short-term solution, but the risk far outweighs the reward. Look no further than the recent NSA warning or the 5+ hour Fortnite outage to see why they should be avoided. Instead, consult your PKI or security team on how to obtain trusted certificates.
• Do not use self-signed certificates on production systems. Self-signed certificates have their place, but not in production or public-facing domains. Improperly handled self-signed certificates can be leveraged by cybercriminals for man-in-the-middle (MitM) attacks to impersonate trust.
• If certificates are a pain, help drive the business case. If you’re frustrated with having to request, install, and renew certificates manually, chances are your PKI/security team is tired of it too. Rather than point fingers, help drive the business case for more automation that can make things easier on everyone.

Pour les responsables informatiques :

• Make machine identities a priority in your IAM strategy. Shifting the perception of cryptography as a highly technical concept to an already well-understood concept of “identity” will help drive better understanding and standardization across the business.
• Define machine identities and develop a clear plan Help define a clear picture of machine identities in your environment and develop an enterprise-wide policy framework for how they should be used and managed. 
• Help form a crypto center of excellence (CCOE). Once you’ve established a baseline strategy and policy, you’ll need to ensure that your teams develop clear guidance for certificate users. That includes assigning ownership of tools and processes to be used for different types of machine identities.

Ressources complémentaires

• Read the 2021 State of Machine Identity Management Report and share it with your teams to drive awareness within the business.
• Visit the product website to learn how the Keyfactor Crypto-Agility Platform produces comprehensive visibility, control, and automation for every machine identity.