Tout savoir sur les identités des machines et leur gestion

Sans gestion adéquate de l’authentification, le nombre sans cesse croissant d’interactions entre machines, inhérent aux processus numérisés, représente un risque significatif pour la continuité des activités. Des identités uniques permettent à ces processus de déterminer si l’interaction est fiable grâce à l’utilisation de clés cryptographiques et de certificats numériques. En substance, cette identité de machine est l’identifiant numérique ou « empreinte digitale » utilisé pour établir la confiance, authentifier d’autres machines et chiffrer les communications.

Il est essentiel que l’ensemble du cycle de vie des identités des machines soit correctement géré, afin de garantir que l’accès ne soit accordé qu’aux utilisateurs ou machines légitimes, quel que soit le nombre d’identités de machines concernées ou la complexité du réseau d’entreprise.

La validation des identités des machines revêt une importance particulière dans le cadre d’une stratégie de sécurité « Zero Trust », où la confiance n’est jamais accordée implicitement et doit être évaluée en permanence. Cette approche implique l’octroi d’un contrôle d’accès détaillé, d’un contrôle des accès privilégiés et d’autorisations à chaque appareil et processus au sein d’un réseau, ainsi qu’aux identités humaines présentes dans l’environnement. L’utilisation de certificats d’infrastructure à clé publique (PKI) et de paires de clés cryptographiques permet de renforcer la vérification et peut également servir à sécuriser les connexions entre des entités situées au-delà de l’architecture réseau protégée par un pare-feu.

À l’ère de la transformation numérique, le modèle « Zero Trust » renforce la protection des identités des machines tout en accentuant le besoin d’une approche consolidée, automatisée et moderne de l’infrastructure à clé publique (PKI).

Qu'est-ce qu'une identité de machine ?

Une identité de machine est bien plus qu’un simple numéro d’identification numérique ou un identifiant basique tel qu’un numéro de série ou une référence de pièce. Il s’agit en réalité d’un ensemble d’informations d’authentification certifiant qu’une machine ou un utilisateur est autorisé à accéder à des ressources en ligne ou à un réseau.

Il est important de noter qu’il ne s’agit pas d’un concept universel, car toute identité n’est valable qu’au sein du réseau ou du système pour lequel elle a été créée. Les réseaux informatiques modernes utilisent en effet toute une catégorie de logiciels pour gérer à la fois les identités des machines et celles des utilisateurs. Les logiciels de gestion des identités et des accès (IAM) ont pour mission exclusive de garantir que toutes les identités numériques sont gérées de manière appropriée et sécurisée.

Exemples d’identités de machines

Les identités de machines constituent un sous-ensemble d’un ensemble plus large d’identités numériques qui inclut également toutes les identités humaines et celles des applications dans un environnement d’entreprise. Chacun des éléments suivants, par exemple, se verrait attribuer une identité de machine unique :

• Les appareils mobiles et les smartphones
• Les appareils de l’Internet des objets (IoT)
• Serveurs Web et serveurs d’applications
• Appareils réseau et routeurs

À mesure que les initiatives de transformation numérique se développent, le nombre de machines contribuant à en tirer parti augmentera également. Les organisations ont besoin à la fois d’une stratégie et de mesures concrètes pour mettre en œuvre un système structuré d’identités numériques qui sécurise, gère et vérifie de manière fiable les communications de machine à machine.

Pourquoi la gestion des identités des machines est-elle importante ?

Au fur et à mesure que la technologie a évolué ces dernières années, le paysage de la sécurité d’entreprise est devenu de plus en plus complexe. Les applications et les données exécutées dans des environnements cloud et multicloud, les effectifs dispersés et les appareils connectés innovants s’entrecroisent de manière à exiger une approche solide en matière d’identité numérique, capable de protéger contre les menaces persistantes et émergentes.

Il est important de comprendre que bon nombre de ces interactions se caractérisent par l’automatisation ; il n’y a aucune intervention humaine lors des communications de machine à machine. Les implications en matière de sécurité sont considérables. Les interactions entre machines doivent être sécurisées et rapides afin d’offrir la fiabilité et l’évolutivité nécessaires pour assurer une protection à l’échelle de l’entreprise et à l’échelle mondiale.

Les entreprises s’appuient désormais sur les certificats PKI, considérés comme la référence absolue en matière de vérification d’identité. La PKI constitue un élément fondamental d’une architecture « Zero Trust » qui respecte des paramètres de sécurité rigoureux pour toutes les identités des utilisateurs finaux, des appareils et des applications.

Mais à mesure que des environnements déjà complexes et des systèmes critiques s’étendent pour inclure les appareils mobiles, l’infrastructure cloud, le DevOps, l’Internet des objets et d’autres appareils physiques, les risques financiers inhérents à une gestion inefficace des certificats PKI ont considérablement augmenté. Si une gestion inadéquate des certificats rend les entreprises plus vulnérables aux cybercriminels, aux logiciels malveillants et à la fraude, elle expose également les organisations à des risques liés à la productivité des collaborateurs, à des problèmes d’expérience client, à des manquements en matière de conformité et à d’autres problèmes potentiels.

En quoi la gestion des identités numériques est-elle plus sûre que les mots de passe et l’authentification multifactorielle ?

Aujourd’hui, les équipes de sécurité informatique doivent disposer du savoir-faire nécessaire pour reconnaître et authentifier les identités à l’échelle de l’entreprise, qu’il s’agisse d’individus, d’appareils, de données ou d’applications. Les mots de passe offraient autrefois un certain niveau de sécurité, mais ils ne sont plus aussi efficaces qu’auparavant. En effet, les cybercriminels sont de plus en plus habiles à les voler grâce à toute une série de méthodes sournoises, notamment :

• Inciter les utilisateurs à saisir leurs mots de passe sur des sites de hameçonnage.
• Le vol d’identité des utilisateurs lors de transactions transitant par Internet.
• Extraction de mots de passe à partir de référentiels de mots de passe.
• Découvrir les endroits où des mots de passe volés ont été réutilisés.
• Obtenir des mots de passe par force brute.

En ce qui concerne l’identité des personnes, de nombreuses organisations se sont tournées vers l’authentification à deux facteurs (2FA), l’authentification multifactorielle (MFA) et, dans certains cas, l’authentification biométrique. Souvent présentées comme une alternative sécurisée aux mots de passe, aux codes envoyés par SMS et aux jetons OATH à usage unique, les solutions d’authentification multifactorielle sont truffées de nombreuses failles de cybersécurité documentées et se sont révélées vulnérables à des attaques très médiatisées, aussi faciles et évolutives que le vol de mots de passe. De plus, l’effort qu’un employé doit fournir pour utiliser une application avec l’authentification multifactorielle — bien plus contraignant que le simple fait de mémoriser un mot de passe — complique encore davantage la vie tant des employés que des administrateurs informatiques.

Les mots de passe et l’authentification multifactorielle posent une série de problèmes supplémentaires lorsqu’il s’agit d’authentifier des machines. Comme évoqué précédemment, la communication de machine à machine se caractérise par l’automatisation. Les machines ne peuvent pas répondre à un smartphone ou à un appareil IoT pour obtenir un mot de passe à usage unique. Le stockage ou le transfert de mots de passe au sein de processus de communication automatisés ouvre la porte à des vulnérabilités. Compte tenu de la prolifération de la transformation numérique des entreprises, les organisations ont besoin d’une approche fondamentalement différente et plus efficace pour l’authentification des identités des machines.

Contrairement à ces deux méthodes, la gestion des identités numériques via une infrastructure à clé publique (PKI) élimine le recours à des secrets devant être partagés (ou susceptibles d’être interceptés par des cybercriminels). L’authentification a lieu lorsque l’utilisateur ou la machine prouve qu’il détient la clé privée. La transaction est ensuite signée par la clé privée et vérifiée par la clé publique. Cette paire de clés publique/privée est générée par l’un des nombreux algorithmes cryptographiques robustes.

Ce processus offre une protection des données et une sécurité bien supérieures à celles de l’authentification par mot de passe face aux pirates informatiques, et ce pour plusieurs raisons :

• La clé privée ne quitte jamais le client. Contrairement aux mots de passe, qui sont faciles à partager, intentionnellement ou non, via des attaques de phishing.
• La clé privée ne peut pas être volée en cours de transmission, car elle n’est jamais transmise. Contrairement aux mots de passe, qui peuvent être volés lors de leur transit sur Internet, les clés privées ne sont jamais transmises.
• La clé privée ne peut pas être volée dans le référentiel du serveur. Les mots de passe stockés dans des référentiels centraux sur serveur peuvent être volés ; les clés privées ne sont connues que de l’appareil de l’utilisateur et ne sont pas stockées de manière centralisée.
• Les utilisateurs n’ont pas besoin de mémoriser de mots de passe ni de saisir de noms d’utilisateur. L’appareil de l’utilisateur stocke simplement une clé privée qui est présentée en cas de besoin, offrant ainsi une expérience utilisateur plus fluide.

Pourquoi automatiser la gestion des identités des machines ?

Bien qu’il n’existe pas de solution d’authentification et de chiffrement plus sûre et plus simple à utiliser que l’identité numérique fournie par l’infrastructure PKI, le défi pour les équipes informatiques très sollicitées réside dans le fait que le déploiement et la gestion manuels des certificats prennent beaucoup de temps et peuvent entraîner des risques inutiles. Conclusion ? La gestion manuelle des clés n’est ni viable ni évolutive.

Qu'une entreprise déploie un seul certificat SSL pour un serveur web ou gère des millions de certificats pour l'ensemble des identités de ses périphériques en réseau, le processus de bout en bout d'émission, de configuration et de déploiement des certificats peut prendre des heures. La gestion manuelle des certificats expose également les entreprises à un risque important : celui de voir des certificats négligés expirer de manière inattendue et de se retrouver confrontées à des lacunes en matière de responsabilité — des défaillances qui peuvent entraîner des interruptions liées aux certificats, des pannes de systèmes métier critiques, ainsi que des failles de sécurité et des attaques.

Les clients et les utilisateurs internes comptent sur la disponibilité permanente des systèmes métier critiques. Or, ces dernières années, des certificats expirés ont entraîné de nombreuses interruptions de service et de sites web très médiatisées. Il en a résulté des milliards de dollars de pertes de chiffre d’affaires, des pénalités contractuelles, des poursuites judiciaires, ainsi que le coût incalculable d’une réputation de marque ternie et d’une perte de confiance des clients.

Les organisations doivent se conformer aux réglementations sous peine de sanctions colossales

Une sécurité insuffisante des identités peut certes exposer les organisations au risque d’attaques et de fuites de données sensibles. Mais les failles de sécurité peuvent également mettre les entreprises en danger de non-conformité aux obligations réglementaires. Les réglementations en matière de protection de la vie privée, telles que les lois HIPAA/HITECH, le RGPD et le DFARS du gouvernement fédéral américain, définissent des cas de figure et des scénarios d’utilisation qui exigent le chiffrement afin d’atténuer ou de minimiser les conséquences d’une violation — toutes ces mesures visant à se prémunir contre les vulnérabilités liées au vol d’informations.

Le non-respect des exigences de conformité peut entraîner des amendes substantielles. Par exemple, l’UE a infligé des amendes liées au RGPD à Google (50 millions d’euros), à Marriott (99 millions de livres sterling) et à British Airways (183 millions de livres sterling). De plus, le RGPD stipule que le montant des amendes doit être déterminé en fonction à la fois de l’ampleur de la violation elle-même et du degré de négligence dont a fait preuve l’organisation. Ainsi, la mise en œuvre d’une solution de sécurité robuste pour vos certificats numériques contribue à réduire le risque de violation. Mais cela témoigne également d’un effort de bonne foi ou d’une absence de négligence, ce qui peut contribuer à réduire le montant de l’amende en cas de violation.

Les coûts administratifs s’accumulent également rapidement

Bien que la gestion des certificats puisse parfois être considérée comme une simple tâche quotidienne pour un administrateur informatique ou web, s'assurer de la validité de chaque certificat pris individuellement est coûteux. Le recours à des processus manuels pour recenser, installer, surveiller et renouveler tous les certificats PKI d’une organisation est une tâche fastidieuse et techniquement exigeante.

Considérons, par exemple, que même une installation manuelle minimale de certificats SSL/TLS sur un seul serveur web et une seule instance de domaine implique plusieurs étapes et peut facilement coûter plus de 50 dollars par serveur web. Multipliez désormais cet effort par les milliers, voire les millions de certificats PKI d’une organisation, et il apparaît clairement que les coûts liés à la gestion manuelle des certificats s’accumulent rapidement.

Comment automatiser la gestion des identités des machines

Compte tenu des écueils mentionnés ci-dessus et des répercussions financières inhérentes à la gestion manuelle des certificats PKI, le retour sur investissement des outils automatisés de gestion des identités des machines est évident pour les DSI et les responsables de la sécurité.

Les professionnels de l’informatique doivent repenser leurs stratégies de gestion du cycle de vie des certificats. D’autant plus que les entreprises commercialisent de plus en plus de services reposant sur des environnements DevOps en constante évolution, les organisations ont besoin d’une solution automatisée garantissant que les certificats sont correctement configurés et mis en œuvre sans intervention humaine. Ce type de solution contribue à réduire les risques, mais aide également les services informatiques à maîtriser les coûts opérationnels et à accélérer la mise sur le marché des produits et services.

Récemment, l’infrastructure PKI a évolué pour devenir encore plus polyvalente. L’interopérabilité, la haute disponibilité et la gouvernance restent des avantages clés. Mais les solutions PKI actuelles sont également capables, sur le plan fonctionnel, d’améliorer l’administration et la gestion du cycle de vie des certificats grâce à :

• L’automatisation : l’exécution de tâches individuelles tout en réduisant au minimum les processus manuels.
• La coordination : l’utilisation de l’automatisation pour gérer un large éventail de tâches.
• Évolutivité : gestion de centaines, de milliers, voire de millions de certificats.
• Crypto-agilité : mise à jour de la robustesse cryptographique, ainsi que révocation et remplacement rapides des certificats à risque par des certificats résistants à l’informatique quantique, en réponse à des menaces nouvelles ou évolutives.
• Visibilité : visualisation de l’état des certificats via un tableau de bord unique couvrant tous les cas d’utilisation.

Compte tenu de la diversité des systèmes, des applications et des appareils utilisant des certificats numériques, les équipes informatiques se retrouvent souvent à gérer des services d’automatisation distincts provenant de nombreux fournisseurs différents. L’exploitation de plusieurs plateformes entraîne généralement une perte d’efficacité. Un tableau de bord unique de gestion des certificats, qui automatise la découverte, le déploiement et la gestion du cycle de vie pour tous les cas d’utilisation et toutes les plateformes des fournisseurs, offre l’efficacité promise par l’automatisation. Et les équipes informatiques conservent le contrôle des définitions de configuration et des règles afin que toutes les étapes soient exécutées correctement.

En tant qu’autorité de certification (CA) de confiance, Sectigo fournit des solutions d’automatisation de la gestion des identités numériques qui permettent aux entreprises de gagner en agilité et en efficacité, tout en conservant le contrôle total de tous les certificats de leur environnement, y compris les identités des machines. Sectigo prend en charge l’installation, la révocation et le renouvellement automatisés des certificats SSL/TLS et non SSL via des protocoles de pointe, des API et des intégrations tierces. De plus, Sectigo élimine le problème des limites de volume de certificats pouvant survenir avec les alternatives open source.

En résumé, les solutions d’automatisation de Sectigo permettent à votre équipe de sécurité de :

• Appliquer des politiques de sécurité cryptographique.
• Protéger les communications.
• Prévenir la perte de données personnelles due à des accès non autorisés.
• De pérenniser les systèmes, applications et appareils à l’échelle de l’entreprise.

Pour en savoir plus sur la manière dont vous pouvez utiliser l’infrastructure à clé publique (PKI) pour remplacer les mots de passe dans la gestion des identités et des accès, consultez le livre blanc « L’entreprise sans mot de passe ».