Pourquoi votre ancienne solution PKI ne fonctionne-t-elle pas ?

Les organisations de toutes tailles sont confrontées à une bataille entre la demande d'activation de nouvelles applications et données et la nécessité de protéger leur entreprise et les consommateurs. Si vous êtes un professionnel de l'informatique ou de la sécurité, vous ne le savez que trop bien. Vous êtes sur le champ de bataille, confronté à ces pressions tous les jours.

La croissance explosive de la connectivité entre les utilisateurs, les appareils et les applications fait qu'il est de plus en plus difficile de suivre le rythme quotidien, sans parler de prendre de l'avance. Ce qui, à une époque, pouvait être considéré comme une couverture complète est aujourd'hui juste suffisant pour garder la lumière allumée.

L'infrastructure à clé publique (PKI ) est sans aucun doute un élément de base de l'informatique, mais elle joue un rôle encore plus critique dans ce nouveau paysage de la cybersécurité. Autrefois considérée comme une technologie dorsale utilisée pour sécuriser les sites web et les applications protégés par HTTPS, PKI est désormais utilisée pour sécuriser et permettre de nouvelles initiatives à la pointe de la transformation numérique.

Comment en sommes-nous arrivés là ? PKI n'est pas une nouveauté, mais il n'a pas toujours ressemblé à ce qu'il est aujourd'hui. Dans un blog précédent, notre directeur technique Ted Shorter a décrit l'évolution de PKI en trois phases différentes :

1. Internet PKI: Dans les premiers temps de l'Internet, les entreprises avaient besoin de certificats largement reconnus pour sécuriser leurs sites web et applications publics. Les certificats numériques étaient achetés à un prix élevé auprès d'un nombre limité d'autorités de certification publiques.
2. Entreprise PKI: Au fur et à mesure que les réseaux d'entreprise se développaient, il devenait de plus en plus nécessaire de sécuriser les appareils des utilisateurs, les appareils réseau, l'accès Wi-Fi et VPN avec des certificats qui n'avaient pas besoin d'être approuvés à l'extérieur de l'organisation. La mise en place d'un site privé PKI a permis de mieux contrôler ces certificats et d'éliminer les coûts d'achat par certificat auprès d'une autorité de certification publique.
3. Next-Gen PKI: Aujourd'hui, tout et tout le monde est connecté. L'adoption de l'informatique en nuage, de IoT et des appareils mobiles a radicalement changé le paysage technologique. Hautement évolutif et éprouvé, PKI est devenu la norme de facto pour la sécurisation des identités numériques dans ce nouvel environnement.

À chaque génération, la technologie est devenue plus connectée, plus mobile et plus rapide. Il y a dix ans, le déploiement d'un site PKI impliquait un ensemble de cas d'utilisation, de défis et de normes totalement différents de ceux auxquels les entreprises sont confrontées aujourd'hui. Voici les principaux impacts sur l'entreprise PKI aujourd'hui :

• Adoption de IoT, Cloud & DevOps. Un nombre croissant d'applications nécessitent l'utilisation du chiffrement et de l'authentification, mais dans de nombreux cas, les déploiements PKI existants ne sont pas équipés pour ce travail. Selon l'étude 2019 Global PKI et IoT Trends Study, 56 % des organisations déclarent que leur PKI actuel est incapable de prendre en charge de nouvelles applications.
• Croissance rapide des certificats numériques. Il va sans dire que le nombre de clés et de certificats numériques utilisés par les organisations a augmenté de façon exponentielle, ce qui rend encore plus difficile le suivi du nombre de certificats émis et de leur emplacement dans l'infrastructure. Sans les outils adéquats, les pannes dues à des certificats expirés entraînent des temps d'arrêt importants et des risques pour la sécurité de l'organisation.
• Des "bricolages" désordonnés PKI. Bien trop souvent, les entreprises ne savent même pas combien d'autorités de certification émettent des certificats dans leur environnement. De multiples configurations d'AC "bricolées" sont mises en œuvre pour différents cas d'utilisation, sans aucune supervision de l'équipe de sécurité. Au lieu d'une autorité de certification dédiée et bien structurée ( PKI), ces autorités de certification ad hoc créent un environnement décousu et franchement désordonné qu'il peut être difficile d'assainir.
• Compétences et ressources insuffisantes. Les grandes entreprises avaient l'habitude d'avoir une équipe dédiée responsable de tout ce qui concerne PKI, mais avec le temps, cette tâche a été transférée à l'équipe informatique ou à l'équipe de sécurité. Bien que les professionnels de la sécurité soient compétents, ils disposent de dizaines d'outils et d'applications à exécuter en dehors de PKI. Cependant, sans une diligence constante, l'intégrité de PKI se dégrade inévitablement en deçà des niveaux de service acceptables. Dans le meilleur des cas, cela crée des maux de tête opérationnels. Dans le pire des cas, le site PKI doit être reconstruit à partir de zéro.
• Évolution des normes cryptographiques. Chaque certificat expire, chaque algorithme évolue et, avec les récents progrès de l'informatique quantique, les risques augmentent encore. La nécessité de s'adapter rapidement et de préparer votre site PKI à l'ère post-quantique n'a jamais été aussi importante.

Qu'est-ce que l'héritage PKI? Au niveau le plus élevé, il s'agit généralement d'un mélange de solutions qui peuvent inclure des outils fournis par l'autorité de certification, des feuilles de calcul et des scripts personnalisés, ainsi que d'autres solutions maison. Cette approche était la meilleure option disponible dans le passé, mais aujourd'hui, lorsque le nombre de certificats atteint des dizaines, voire des centaines de milliers, elle est cruellement inadéquate.

Les anciennes mises en œuvre de PKI enferment les organisations dans un mode réactif, où différents départements (c'est-à-dire DevOps, ingénieurs réseau, administrateurs AD) mettent en œuvre des AC pour leurs propres cas d'utilisation sans aucune supervision ou contrôle, et où les équipes de sécurité sont constamment à la recherche de certificats expirés ou non conformes pour éviter des pannes perturbatrices.

Alors que les violations et les pannes liées aux certificats continuent de stagner la productivité et de mettre l'organisation en danger, les équipes informatiques et de sécurité recherchent une nouvelle approche capable de combler les grandes lacunes laissées par leurs PKI du passé.

Selon Gartner, "les professionnels techniques doivent transformer la perception - et le déploiement - de PKI afin d'établir un régime automatisé pour PKI". Lors du passage à la prochaine génération de PKI, les entreprises devront évoluer et s'adapter.

Pour bien faire, il faudra investir dans l'infrastructure, le personnel et le soutien opérationnel continu, mais les bénéfices de la mise en place d'un site PKI robuste et fiable sont inestimables. Téléchargez notre livre blanc pour comprendre ce qu'il faut faire pour bien construire et commencer votre chemin vers le succès de PKI . Vous apprendrez également comment Keyfactor Command peut offrir tous les avantages de PKI, sans les coûts ou la complexité d'une gestion interne.