Les certificats numériques sont de plus en plus nécessaires pour identifier et contrôler les personnes autorisées à accéder aux réseaux d'entreprise et à y opérer. Aujourd'hui, les entreprises souhaitent mettre en place des points d'accès sans fil qui limitent l'accès aux appareils externes et autorisent uniquement les personnes et les machines qui sont censées avoir accès à leur réseau.
Les certificats numériques sont le principal moyen d'identification et d'authentification des personnes et des machines. Plus le nombre d'identités augmente dans une entreprise, plus il est difficile de gérer et de protéger les certificats à grande échelle.
Une gestion efficace des certificats nécessite l'émission, le renouvellement et la révocation constants des certificats numériques, et il n'y a pas de place pour l'erreur.
Une autorité de certification (AC) est chargée d'attester l'identité des utilisateurs, des ordinateurs et des organisations. L'autorité de certification authentifie une entité et se porte garante de cette identité en émettant un certificat signé numériquement. L'autorité de certification peut également gérer, révoquer et renouveler les certificats.
Une autorité de certification peut se référer à :
De nombreuses organisations et personnes font appel à des autorités de certification tierces pour la gestion des certificats sur le site SSL .
En installant l'autorité de certification, vous pouvez configurer votre serveur pour qu'il agisse en tant qu'autorité de certification. Avant d'installer une autorité de certification localement, vous devez planifier une infrastructure de clés publiques (PKI) adaptée à votre organisation.
Les utilisations typiques des AC privées sont les suivantes :
Communications sécurisées entre les services internes et communications interopérables entre les tiers, y compris les environnements en nuage conteneurisés ou connectés à une interface de programme d'application (API).
Deux stratégies sont couramment utilisées pour obtenir des certificats :
Avant de créer une demande de signature de certificat (CSR), le demandeur génère d'abord une paire de clés, en gardant la clé privée secrète. En outre, l'autorité de certification vous demandera généralement de fournir une preuve de votre identité légale.
L'obtention d'un certificat par l'intermédiaire d'une autorité de certification de confiance est un processus assez simple. Si vous demandez à une autorité de certification d'émettre un certificat pour vous, vous devez fournir votre clé publique et quelques informations vous concernant. Vous devez utiliser un outil qui prend en charge la génération de demandes de signature de certificats, mais la plupart des plateformes de gestion des certificats ont rendu ce processus facile et sans douleur.
L'autorité de certification produira alors le certificat et le renverra. Si vous créez le certificat vous-même, vous prendrez les mêmes détails, en ajouterez un peu plus (dates de validité du certificat, numéro de série) et construirez le certificat à l'aide d'un outil.
Toutes n'acceptent pas les certificats auto-signés. L'une des valeurs offertes par les AC est de servir de service d'introduction neutre et digne de confiance, en partie sur la base de leurs critères d'authentification, qui sont publiés librement dans leurs pratiques de service de certification (CSP).
Avant de créer une demande de signature de certificat (CSR), le demandeur génère d'abord une paire de clés, en gardant la clé privée secrète. En outre, l'autorité de certification vous demandera généralement de fournir une preuve de votre identité légale. Signez ces informations en ligne et envoyez-les à l'autorité de certification. L'AC produira alors le certificat et le renverra.
La gestion des certificats implique la découverte, l'analyse, la surveillance et la gestion de tous les certificats numériques déployés par l'autorité de certification. Une bonne gestion des certificats doit être un élément fondamental de la stratégie de sécurité de votre organisation.
Pour comprendre l'étendue de la gestion des certificats, il faut d'abord avoir une vue d'ensemble et voir comment elle est liée à l'infrastructure à clé publique (PKI).
PKI comprend les personnes, les rôles, les politiques, les procédures, hardware, software, et les systèmes de microprogrammation nécessaires pour assurer la sécurité des communications sur de vastes réseaux publics et privés. Lors de l'échange d'informations sensibles, les participants au réseau peuvent se fier à l'identité des autres en échangeant des certificats numériques.
Le site PKI le plus courant - SSL/TLS - utilise un système cryptographique hybride qui fait appel aux deux types de cryptage. Chaque partie signe un message avec sa clé publique et envoie le message à l'autre partie. Ils décryptent les messages reçus à l'aide de leurs clés privées. Ce processus crée une clé secrète partagée.
Les principales entités qui jouent un rôle dans la gestion des certificats sur le site PKI sont les suivantes :
L'autorité de certification est un tiers de confiance qui délivre les clés et les certificats des utilisateurs finaux et gère leur cycle de vie, y compris la génération, la révocation, l'expiration et la mise à jour.
L'autorité de certification racine est le niveau le plus élevé de la hiérarchie et sert d'ancre de confiance. Pour qu'un certificat d'entité finale soit fiable, l'autorité de certification racine à laquelle il est relié doit être intégrée au système d'exploitation, au navigateur, à l'appareil ou à tout autre élément validant le certificat. Les autorités de certification racines sont fortement sécurisées et maintenues hors ligne (plus d'informations à ce sujet ci-dessous).
Elles se situent entre les certificats de l'entité racine et ceux de l'entité finale, et leur objectif principal est de définir et d'autoriser les types de certificats qui peuvent être demandés à l'autorité de certification racine. Par exemple, dans les hiérarchies publiques, vous devez séparer les AC subordonnées SSL et S/MIME. Un autre scénario courant est celui de subordonnés distincts pour différents sites, ou vous pouvez en avoir un pour les certificats avec des clés ECC et un autre pour les clés RSA.
Remarque : il peut y avoir une ou plusieurs autorités de certification subordonnées entre l'autorité de certification racine et les certificats d'entité finale. Les subordonnés qui se trouvent entre l'autorité de certification racine et un autre subordonné sont parfois appelés autorités de certification intermédiaires.
Il s'agit des certificats installés sur les serveurs, les machines, le site cryptographique hardware et les appareils.
L'application client est un utilisateur final software qui demande, reçoit et utilise des certificats à clé publique pour effectuer un commerce électronique sécurisé.
Un site géré PKI a besoin de services supplémentaires qui interopèrent avec les trois autres composants mentionnés. Ceux-ci fournissent des services uniques qui permettent de nombreuses applications du commerce électronique. Les services typiques sont les suivants
Le référentiel de certificats fournit un mécanisme évolutif pour le stockage et la distribution de certificats, de certificats croisés et de listes de révocation de certificats (CRL) aux utilisateurs finaux de PKI .
En raison de leur position centrale dans le site PKI, ces composants doivent être réactifs et interopérables.
La gestion du cycle de vie des certificats est une discipline qui coïncide avec PKI mais qui possède son propre ensemble de règles et de protocoles - axée sur la découverte, la gestion et le contrôle des certificats numériques.
La gestion des certificats ne concerne généralement que les certificats émis par des autorités de certification mutuellement fiables. Une fois que les certificats numériques ont été émis, ils doivent être gérés avec diligence pendant toute leur période de validité. Cela peut sembler simple dans le contexte, mais la gestion des certificats est tout sauf simple.
Voici les sept étapes de la gestion du cycle de vie des certificats.
La découverte de certificats est le processus par lequel l'ensemble de l'infrastructure du réseau est examiné afin de déterminer où chaque certificat est installé et de vérifier s'il est correctement mis en œuvre. Une analyse de découverte permet de s'assurer que le réseau est exempt de certificats inconnus qui peuvent avoir expiré ou être configurés avec des protocoles faibles.
L'organisation des certificats dans un inventaire centralisé facilite les opérations de renouvellement et de révocation des certificats. Établissez une corrélation entre les appareils et les certificats afin de suivre l'état de chaque appareil et de connaître la date d'expiration de son certificat. Une pratique courante consiste à classer les certificats en fonction de l'usage auquel ils sont destinés.
Lors de la construction de chaînes de certificats, il faut veiller à configurer correctement les certificats racine et intermédiaire afin d'éviter toute confusion lors des renouvellements. Il existe différentes catégories de certificats. L'achat des bons certificats permet d'éviter les fraudes et de sécuriser les communications.
Le demandeur crée d'abord une paire de clés avant de générer une RSC, tout en gardant la clé privée secrète. La RSC contient des informations permettant d'identifier le demandeur (comme un nom distinctif pour un certificat X.509) qui doivent être signées à l'aide de la clé privée du demandeur. La RSC comprend également la clé publique préférée du demandeur.
Si vous créez le certificat, vous devez reprendre les mêmes informations, en ajouter un peu plus (dates de validité du certificat, numéro de série) et construire le certificat à l'aide d'un outil.
La diversité des types et des attributs des certificats accroît particulièrement la complexité de la gestion des certificats.
Les responsables de la sécurité doivent compenser et gérer plusieurs formats de certificats qui peuvent définir un large éventail de spécifications pour les propriétés des métadonnées telles que la longueur de la clé de cryptage et les algorithmes cryptographiques.
Déployer le certificat à temps avec la bonne configuration.
Il peut s'agir d'un appareil, d'un serveur, d'une application ou même d'un site web. Il est essentiel de connaître l'état et l'emplacement de tous les certificats sur votre réseau.
Un utilisateur doit vérifier le certificat d'un autre utilisateur, ainsi que les LCR correspondantes, pour effectuer des opérations à clé publique. Un protocole standard doit être mis en place pour permettre l'accès aux certificats des autres utilisateurs et aux informations pertinentes sur la révocation. Il s'agit notamment de créer des certificats numériques à clé publique et des listes de révocation de certificats pour contrôler l'état du certificat et l'interopérabilité avec d'autres applications clientes et d'autres sites PKI.
Le certificat continuera à fonctionner jusqu'à l'expiration de sa validité (la norme actuelle est de 398 jours, ce qui favorise un calendrier de maintenance annuel avec une petite marge de sécurité).
La gestion des clés et des certificats est la tâche la plus courante de la gestion des certificats. Les protocoles de soumission, de mise à jour, de sauvegarde, de restauration et de révocation des clés et des certificats nécessitent une interopérabilité entre les applications des clients et l'autorité de certification. Certains systèmes de gestion des certificats permettent le renouvellement automatique des certificats au cours d'une période de pré-expiration spécifiée.
Si certains fournisseurs proposent une gestion du cycle de vie avec leurs certificats, les "véritables fournisseurs de cycle de vie" proposent des certificats intégrés signés numériquement par plusieurs autorités de certification.
L'administrateur doit soit renouveler le certificat auprès de l'autorité de certification qui l'a émis, soit le révoquer et en acheter un nouveau à installer sur le poste de travail.
Tout d'abord, il donne aux administrateurs des informations en un coup d'œil sur les certificats et leur statut et fournit des réponses rapides à des questions essentielles, comme par exemple :
Deuxièmement, la surveillance étroite de vos certificats garantit qu'il n'y a pas d'angle mort dans le système, ce qui permet aux administrateurs de prévenir les pannes en empêchant les expirations de manière préventive.
L'authentification au moment de la transaction consiste à vérifier si le certificat est légitime auprès de l'autorité de certification ou d'un serveur. Cette vérification s'effectue en ligne à partir de l'écran du destinataire. Si le certificat est retiré, le destinataire ne fera pas d'affaires sur la base de ce certificat.
Chaque certificat n'est valable que pour une durée limitée. Cette période est décrite par une date et une heure de début et une date et une heure de fin, et peut être aussi courte que quelques secondes ou presque aussi longue qu'un siècle. La période de validité choisie dépend de plusieurs facteurs, tels que la force de la clé privée utilisée pour signer le certificat ou le montant payé pour un certificat.
Il s'agit de la période pendant laquelle les entités peuvent se fier à la valeur publique si la clé privée associée n'a pas été compromise.
Différentes circonstances peuvent entraîner l'invalidation d'un certificat avant l'expiration de la période de validité. Il peut s'agir d'un changement de nom, d'un changement de relation entre le sujet et l'AC (par exemple, un employé quitte son emploi au sein d'une organisation), ou d'une compromission ou d'une prétendue compromission de la clé privée correspondante. Dans ces cas, l'AC doit retirer le certificat.
La gestion des certificats consiste également à révoquer les certificats.
Les certificats X.509 offrent un mécanisme de révocation des certificats avant leur date d'expiration prévue. Dans ce processus, l'autorité de certification émettrice publie périodiquement une structure de données signée appelée liste de révocation de certificats (LCR). La LCR est une liste horodatée contenant des informations sur les certificats qui ont été révoqués par l'autorité de certification émettrice ou par un détenteur de LCR désigné. Cette liste comprend le numéro de série de chaque certificat révoqué et est mise à la disposition du public par l'intermédiaire d'un référentiel.
L'un des avantages de cette approche de la révocation est que les LCR peuvent être distribuées, par le biais de serveurs et de communications non fiables, par les mêmes moyens que les certificats eux-mêmes.
La méthode de révocation des LCR présente un inconvénient : la LCR ne sera pas modifiée tant que toutes les notifications de LCR en cours ne seront pas programmées pour être modifiées lorsqu'une seule révocation sera émise.
Ce délai peut être d'une heure, d'un jour ou d'une semaine, en fonction de la fréquence de publication des LCR.
Les méthodes de notification de révocation en ligne pourraient remplacer la CRL X.509 dans certains environnements.
Le statut d'un certificat est considéré comme modifié s'il est révoqué ou mis en attente. Les paragraphes suivants expliquent chaque condition.
Un certificat est irréversiblement révoqué si, par exemple, on découvre que l'autorité de certification (AC) a délivré un certificat de manière incorrecte ou si l'on pense qu'une clé privée a été compromise. Les certificats peuvent également être révoqués si l'entité identifiée n'adhère pas aux exigences de la politique, telles que la publication de faux documents, la présentation erronée du comportement de software ou la violation de toute autre politique spécifiée par l'opérateur de l'autorité de certification ou son client.
La raison la plus courante de la révocation est que l'utilisateur n'est plus en possession exclusive de la clé privée (par exemple, le jeton contenant la clé privée a été perdu ou volé).
Ce statut réversible peut être utilisé pour signaler l'invalidité temporaire du certificat (par exemple, si l'utilisateur n'est pas sûr ou s'il a perdu la clé privée). Dans cet exemple, la clé privée a été retrouvée et personne n'y a eu accès. Le statut peut être rétabli et le certificat est à nouveau valide, ce qui permet de le retirer des futures LCR.
Une gestion inadéquate des certificats peut avoir des effets négatifs, notamment des temps d'arrêt des appareils, une augmentation des coûts de réponse aux incidents et un risque d'atteinte à l'image de marque.
Les sections suivantes expliquent les deux risques les plus importants dans la gestion des certificats :
Les certificats expirent, que ce soit par manque de connaissances ou de supervision, mais il s'agit d'une erreur très coûteuse que vous voulez éviter.
"En moyenne, chaque panne de certificat coûte 15 millions de dollars aux grandes entreprises. En outre, il y a des conséquences pour la sécurité et la réputation de la marque, y compris une baisse de la confiance des clients et des ventes."
L'un des aspects les plus importants pour minimiser le risque de non reconnaissance des identités numériques est de connaître la date d'expiration de tous vos certificats.
Le fait de ne pas renouveler les certificats à temps peut entraîner des pannes du système.
Certains navigateurs permettent aux utilisateurs de se rendre à leurs risques et périls sur des sites dont les certificats ne sont pas fiables. Le fait d'accéder régulièrement à un serveur dont le certificat a expiré peut conditionner les utilisateurs à "cliquer" sur des avertissements, ce qui les rend plus vulnérables aux attaques de type "man-in-the-middle", dans lesquelles un attaquant potentiel se fait passer pour un serveur légitime.
Malheureusement, trop d'entreprises utilisent encore des processus manuels de gestion des certificats qui laissent leurs données les plus précieuses susceptibles d'être infiltrées. La gestion des certificats par des processus manuels, tels que des feuilles de calcul, conduit presque toujours à une incapacité à prendre en compte tous les certificats PKI .
Par conséquent, lorsqu'un certificat est distribué dans un environnement multicloud et hétérogène, les informations telles que les emplacements, les propriétaires, les applications associées, les dates d'expiration et les signatures doivent être enregistrées avec diligence.
La transformation numérique a conduit à un nombre record d'appareils connectés. Chaque appareil qui se connecte à l'internet ou au réseau public a besoin d'au moins un certificat numérique pour fonctionner en toute sécurité.
À mesure que la portée du certificat s'étend aux appareils, aux conteneurs et aux IoT, vous devrez utiliser une gestion automatisée des certificats pour éviter les défaillances du système et accroître l'efficacité des processus. C'est le meilleur moyen de se protéger contre les faux certificats - des certificats valides qui ont été compromis.
Même si certaines des entreprises de cybersécurité les plus fiables proposent des services de gestion automatisée des certificats, certaines organisations s'appuient encore sur des procédures manuelles de suivi des certificats basées sur des feuilles de calcul.
Inversement, les gestionnaires de la sécurité proactifs utilisent une gestion systématique du cycle de vie et des approches axées sur la découverte pour évaluer le nombre de certificats déployés et le temps qui reste avant leur expiration. Ils offrent des solutions de gestion des certificats à temps plein et une automatisation intelligente des flux de travail aux environnements d'entreprise complexes basés sur les certificats.
Les certificats numériques sont souvent appelés certificats à clé publique, car les certificats SSL sont constitués d'une clé privée et d'une paire de clés publiques.
SSL est la norme pour une connexion cryptée entre un navigateur web et un serveur web. La liaison cryptée utilise le cryptage pour masquer les données entre deux parties, de sorte que les données restent privées et inchangées.
SSL signifie Secure Sockets Layer, un protocole cryptographique aujourd'hui obsolète qui n'a gardé que son nom dans l'usage courant. Tous les certificats SSL sont techniquement des certificats TLS , TLS étant le successeur de la technologie SSL . TLS ou Transport Layer Security est un protocole plus avancé et plus sûr qui est la technologie de cryptage standard depuis plus d'une décennie.
La façon dont TLS est utilisé a également changé. La période de validation des certificats publics est passée de deux ans à un peu plus d'un an, ce délai supplémentaire étant destiné à promouvoir la gestion annuelle des certificats sur SSL . Pour minimiser les pannes causées par l'expiration des certificats gérés manuellement, vous devriez d'abord obtenir une vue d'ensemble de tous les certificats de votre PKI. Ensuite, cherchez à automatiser autant que possible les processus de gestion du cycle de vie de vos certificats.
Les responsables de la sécurité doivent s'assurer qu'ils connaissent et gèrent un référentiel de certificats évolutif. Alors que la gestion des certificats externes peut être assurée par des méthodes manuelles telles que des feuilles de calcul, les responsables de la sécurité devraient simplifier leur approche en adoptant une solution de gestion des certificats. Il peut s'agir de réduire le temps consacré à la gestion des certificats numériques et de réaliser des économies en maximisant les achats sur SSL / TLS .
Dans l'ensemble, si les responsables informatiques disposent de plusieurs centaines de certificats provenant de plusieurs autorités de certification, nous recommandons vivement l'utilisation d'un système de gestion des certificats ( software).
Alors que les entreprises continuent d'augmenter leur utilisation d'applications mobiles, qu'elles soient émises par l'entreprise ou en interne, l'identification de l'utilisateur reste essentielle. Par conséquent, lorsque les responsables de la sécurité acceptent des méthodes basées sur des certificats pour protéger et identifier leurs appareils mobiles, ils doivent garantir une gestion solide et détaillée du cycle de vie complet de leurs certificats.
L'outil de gestion des certificats doit découvrir les certificats émis par les solutions mobiles pour des cas complets de gestion des certificats.
Vous devez déterminer les avantages des systèmes de gestion des certificats et des ressources qui mettent en œuvre des solutions d'accessibilité.
Les organisations doivent prendre en compte de nombreux facteurs avant de se lancer dans des initiatives IoT . Lorsqu'ils envisagent les méthodes d'identité et d'authentification basées sur les certificats de IoT, les responsables de la sécurité recherchent des solutions dotées de systèmes de gestion des certificats intégrés ou interopérables. Bien qu'il s'agisse d'un domaine nouveau et en pleine évolution, certains responsables de la sécurité préféreront peut-être déployer des plates-formes IoT conçues à cet effet et dotées de systèmes PKI étroitement intégrés avec gestion intégrée des certificats.
Ces systèmes peuvent être indépendants des systèmes d'entreprise ou des systèmes internes PKI , et les certificats peuvent ne pas les régir. Les organisations auront besoin de systèmes de gestion des certificats, software, et de techniques pour permettre aux initiatives et stratégies basées sur les certificats IoT d'optimiser et d'étendre leurs plates-formes PKI actuelles.
Alors que DevOps et la virtualisation continuent de se développer, les responsables de la sécurité doivent prendre en compte la protection et l'intégrité de ces écosystèmes en évolution rapide.
Certaines méthodes utilisent l'identification des conteneurs, mais l'utilisation de certificats numériques est une autre approche.
Cependant, la robustesse et l'élasticité des conteneurs les rendent impraticables pour les méthodes manuelles de gestion des certificats.
Lorsque les responsables de la sécurité et leurs organisations s'appuient sur des certificats pour autoriser un large éventail d'applications commerciales critiques, une gestion complète devient rapidement une nécessité.
En ce qui concerne les certificats, les responsables de la sécurité devraient envisager d'utiliser une approche de gestion des certificats plutôt que des méthodes basées sur des feuilles de calcul.
Les applications automatisées PKI doivent avoir accès à la mise à jour rapide de leurs clés. Les solutions automatisées SSL permettent aux administrateurs de :
Ces informations jouent un rôle essentiel dans la récupération, car elles permettent une récupération évolutive ou automatisée en cas d'actions potentiellement malveillantes.
La gestion des certificats d'entreprise est la solution idéale pour aider les entreprises à sécuriser un large éventail de sites web, notamment :
Sites Intranet :
Protégez les informations confidentielles concernant votre entreprise sur les sites web internes.
Accès VPN :
Améliorez l'expérience des utilisateurs grâce à un accès Wi-Fi sans mot de passe, tout en renforçant la sécurité et en veillant à ce que seuls les utilisateurs autorisés aient accès à votre réseau.
Systèmes de points de vente (POS) :
Protégez les systèmes POS et veillez à ce que seuls les terminaux POS autorisés puissent se connecter à votre système de paiement.
Dispositifs de mise en réseau :
Améliorer la sécurité de l'authentification pour les commutateurs et les routeurs du réseau.
Internet des objets (IoT) :
Automatiser l'installation et la gestion des certificats sur les appareils intégrés connectés.
DevOps :
Garantir l'identité et l'intégrité des conteneurs, du code qu'ils contiennent et des applications de production qui utilisent ce code.
Cloud / Multi-Cloud :
Sécuriser les applications basées sur le cloud et les instances de serveurs virtuels, sur un seul fournisseur de cloud ou sur plusieurs fournisseurs, pour les environnements à locataire unique ou à locataires multiples.
Cryptage Signature des courriels :
S'assurer que les courriels sont envoyés par l'expéditeur prévu, en se protégeant contre les vecteurs de fraude tels que l'hameçonnage et la compromission des courriels d'entreprise (BEC).
Développement d'applications :
Signer numériquement software pour protéger les utilisateurs finaux contre le téléchargement et l'installation de software compromis.
Appareils mobiles :
Améliorer la sécurité et la confiance dans les applications mobiles et les machines sur lesquelles elles fonctionnent.
Tranquillité d'esprit :
Personne ne veut subir le prochain désastre d'un réseau de zombies.
