7 raisons de réduire la durée de validité des certificats SSL
Des durées de validité des certificats SSL plus courtes renforcent la sécurité numérique en réduisant les risques tels que le compromis de clés privées, les erreurs d'émission et les retards de révocation. Elles alignent la propriété des certificats sur le contrôle des domaines, favorisent l'agilité cryptographique et corrigent les limites des méthodes actuelles de révocation. Ces durées encouragent également l'automatisation et simplifient les processus de renouvellement. Malgré les défis d'une fréquence accrue des renouvellements, des solutions automatisées peuvent réduire les risques et assurer une gestion fluide.
Table des matières
Compromission de la clé privée
Mauvaise émission et révocation
Alignement de la propriété du certificat et du contrôle du domaine
Agilité cryptographique
Les méthodes de révocation existantes (OCSP) ne sont pas parfaites
Les AC qui ne procèdent pas à la révocation
Encourager l'automatisation
Défis et considérations
Adopter des durées de vie des certificats plus courtes pour une sécurité renforcée
Tous les certificats expirent, par définition. Le fait d'imposer un renouvellement régulier des certificats renforce la sécurité de toute mise en œuvre d'une infrastructure à clé publique. En particulier, les certificats SSL/TLS reconnus par le public ont fait l'objet de plusieurs réductions de leur période de validité dans un passé récent, et d'autres sont attendues dans un avenir prévisible. Mal gérée, cette réduction de la durée maximale peut entraîner une augmentation de la charge de travail et un risque d'interruption ou de violation. Néanmoins, les raisons de maintenir la durée de vie des certificats à court terme sont très convaincantes.
Malgré les risques liés à l'expiration, les périodes de validité des certificats restent cruciales, car elles permettent de faire face à l'évolution des vulnérabilités en matière de cybersécurité. En exigeant des organisations qu'elles renouvellent et déploient des certificats avec des améliorations de sécurité mises à jour, elles limitent la possibilité pour les attaquants d'exploiter des faiblesses potentielles.
L'importance croissante accordée à la réduction de la durée de vie des certificats reflète l'engagement plus large du secteur à renforcer la cybersécurité et à garder une longueur d'avance sur les menaces émergentes. C'est ce qui ressort des récentes propositions, Google proposant une durée de vie de 90 jours et Apple visant seulement 47 jours. Ces géants de la technologie sont loin d'être les seuls à agir dans ce sens : les experts de Sectigo sont également enthousiastes à l'égard de ce changement, reconnaissant son potentiel pour renforcer la sécurité, rationaliser l'efficacité et promouvoir l'agilité de la crypto-monnaie.
S'exprimant sur le besoin urgent de périodes de validité plus courtes, Jason Soroko de Sectigo explique : « Il est tout simplement fou de penser à la durée de vie de nos certificats à l'heure actuelle. Ce n'est pas qu'elles soient courtes, c'est qu'elles soient encore incroyablement longues à l'heure actuelle. » Les durées de vie maximales actuelles de 398 jours ne resteront cependant pas toujours aussi longues, et il est donc important que les entreprises se préparent à l'inévitable : des périodes de validité courtes et des renouvellements fréquents.
Nous examinons ci-dessous sept raisons pour lesquelles des périodes de validité des certificats plus courtes sont bénéfiques :
- Réduire les risques de compromission de la clé privée
- Résoudre les problèmes d'émission erronée et de révocation
- Assurer l'alignement de la propriété du certificat et du contrôle du domaine
- Promouvoir l'agilité cryptographique
- Répondre aux limites des méthodes de révocation existantes (comme l'OCSP)
- Atténuer le problème des AC qui ne procèdent pas à la révocation
- Encourager l'automatisation
Compromission de la clé privée
Les certificats SSL contiennent des clés publiques et privées, la clé publique étant utilisée pour chiffrer les données et sécuriser les communications. La clé privée permet de décrypter ces informations, mais doit rester strictement confidentielle. Si la clé privée tombe entre de mauvaises mains, les attaques de type « man-in-the-middle » et les violations de données peuvent être difficiles à éviter.
La compromission de la clé privée est un risque énorme, au point que les autorités de certification conseillent de révoquer les certificats dès que les clés privées sont exposées. Historiquement, les certificats avaient souvent des périodes de validité de 5 ou même 10 ans, ce qui les rendait vulnérables à l'exploitation pendant beaucoup trop longtemps. Les pratiques modernes privilégient désormais des durées de vie plus courtes afin de minimiser ces risques. Dans le pire des cas, explique Tim Callan de Sectigo, « nous voulons que ce compromis existe le moins longtemps possible ». La meilleure façon d'y parvenir est de raccourcir les périodes de validité, ce qui limite la fenêtre de temps pendant laquelle une clé privée compromise peut être exploitée.
Le CA/Browser Forum souligne l'importance de la sécurité des clés privées en exigeant des autorités de certification qu'elles révoquent les certificats compromis dans les 24 heures suivant leur détection, ce qui souligne encore la nature critique de ce problème.
Mauvaise émission et révocation
Les erreurs d'émission de certificats peuvent prendre de nombreuses formes, telles que des certificats contenant des informations incorrectes, une morphologie inappropriée ou d'autres défauts qui compromettent leur sécurité. Comme l'explique Tim Callan, ces problèmes peuvent rendre les certificats « moins sûrs ou moins compatibles » que souhaité, créant ainsi des vulnérabilités potentielles dans l'écosystème.
Dans l'idéal, les erreurs d'émission sont rapidement découvertes et corrigées, mais ce n'est pas toujours le cas. Lorsque de tels problèmes passent inaperçus, des périodes de validité courtes fournissent une couche supplémentaire de sécurité en garantissant que les certificats émis de manière incorrecte sont éliminés plus rapidement.
Alignement de la propriété du certificat et du contrôle du domaine
Composante essentielle du processus d'émission des certificats numériques, la validation du contrôle du domaine (DCV) permet de vérifier que les organisations qui demandent des certificats SSL/TLS sont effectivement propriétaires des noms de domaine associés à ces certificats. Toutefois, comme le souligne Tim Callan, le processus actuel de validation du contrôle du domaine présente des lacunes importantes. Dans certains cas, les certificats peuvent rester valides pendant de longues périodes sans que la propriété du domaine ne soit revalidée, ce qui peut laisser des vulnérabilités non traitées.
Par exemple, selon les lignes directrices actuelles, les périodes de réutilisation des DCV peuvent s'étendre jusqu'à 398 jours, ce qui correspond à la période de validité maximale des certificats. En théorie, un domaine peut rester plus de deux ans sans faire l'objet d'un nouveau DCV. Ce décalage entre la propriété des certificats et le contrôle des domaines crée des risques qu'une durée de vie plus courte des certificats pourrait contribuer à atténuer en réduisant la période pendant laquelle les domaines non contrôlés restent associés à des certificats actifs. Comme le fait remarquer M. Callan, même les certificats actuels d'une durée d'un an peuvent sembler excessivement longs, ce qui souligne la nécessité de poursuivre les efforts visant à raccourcir les périodes de validité des certificats.
Agilité cryptographique
L'agilité cryptographique est de plus en plus vitale dans le paysage numérique actuel qui évolue rapidement, où les nouvelles technologies, les algorithmes cryptographiques et les défis en matière de sécurité exigent une adaptation permanente. Cette souplesse sera d'autant plus importante que le risque de dépréciation des algorithmes cryptographiques augmente à l'approche de l'ère de la cryptographie post-quantique. À ce stade, les professionnels de l'informatique ne peuvent plus espérer s'appuyer sur les mêmes stratégies cryptographiques tout au long de leur carrière.
La réduction de la durée de vie des certificats favorise l'agilité cryptographique en accélérant l'adoption d'algorithmes plus puissants et garantit la conformité avec les normes de sécurité en constante évolution. Par exemple, l'abandon de SHA-1 s'est produit à une époque où la durée de vie des certificats atteignait trois ans, ce qui a considérablement retardé la transition vers des méthodes cryptographiques plus sûres. Dans l'ère post-quantique, où la durée de vie des algorithmes est incertaine, des certificats plus courts peuvent contribuer à réduire les retards dans l'adoption de solutions avancées.
En revanche, les durées de vie plus longues posent problème car, en termes simples, elles encouragent la complaisance. Toutes les entreprises n'adopteront pas de manière proactive des normes cryptographiques ou des pratiques de sécurité améliorées jusqu'à ce que des expirations anticipées les obligent à rechercher des certificats plus solides par le biais d'un renouvellement.
Les méthodes de révocation existantes (OCSP) ne sont pas parfaites
Le protocole OCSP (Online Certificate Status Protocol) vise à déterminer l'état de révocation des certificats SSL/TLS, ce qui est censé fournir une méthode plus fiable pour détecter et traiter les certificats compromis. Malheureusement, OCSP est loin d'être parfait. En effet, Tim Callan compare cette stratégie à une « ceinture de sécurité qui se brise lorsque vous avez un accident de voiture ». Il ajoute que l'OCSP est « fondamentalement désactivable », car il peut facilement fonctionner comme un point de défaillance unique. Si le serveur OCSP est surchargé ou indisponible, les clients peuvent être enclins à accepter les certificats sans tenir compte de leur statut. En outre, l'OCSP pose un problème de confidentialité en permettant le suivi du navigateur, comme l'explique l'épisode 272 du podcast Root Causes.
Ces problèmes deviennent moins urgents à mesure que la réduction de la durée de vie des certificats offre un palliatif fiable, ce qui permet d'atténuer efficacement ces problèmes en réduisant complètement la dépendance à l'égard des mécanismes de révocation.
Les AC qui ne procèdent pas à la révocation
Au-delà de l'émission, la révocation des certificats représente l'une des responsabilités les plus cruciales des autorités de certification modernes, mais elle est souvent mal gérée. Certaines AC ne parviennent pas à révoquer rapidement les certificats compromis, parfois parce qu'elles sont réticentes à l'idée de déranger leurs abonnés. Il s'agit d'un problème récurrent dans le secteur, qui contribue aux problèmes de confiance et souligne la nécessité de trouver de meilleures solutions.
La réduction de la durée de vie des certificats offre une solution pratique en réduisant la dépendance à l'égard de pratiques de révocation défectueuses. Comme le fait remarquer Tim Callan, si un certificat a une durée de vie maximale de 47 jours seulement, cela limite intrinsèquement la durée pendant laquelle un certificat compromis peut rester actif, même si les processus de révocation sont retardés ou échouent complètement.
Encourager l'automatisation
La réduction de la durée de vie des certificats peut d'abord sembler un obstacle pour les organisations qui dépendent de processus de renouvellement manuels dépassés, mais elle constitue également un puissant catalyseur pour l'adoption de solutions automatisées. L'automatisation accélère le renouvellement des certificats et apporte également une plus grande fiabilité à ce processus - avec des solutions automatisées en place, il n'est pas nécessaire de suivre manuellement les dates d'expiration ou de s'inquiéter des renouvellements manqués.
Malgré ces avantages, de nombreuses organisations ont été lentes à adopter des solutions automatisées.
Cette réticence peut provenir d'une simple (mais problématique) résistance au changement, les organisations pouvant justifier leur utilisation de méthodes manuelles parce qu'elles semblent actuellement répondre aux besoins en matière de certificats. Cependant, à mesure que la durée de vie des certificats diminue, cette complaisance devient insoutenable. La réduction de la durée de vie des certificats crée un point de basculement où les organisations reconnaissent que l'automatisation n'est plus optionnelle, ce qui entraîne une adoption plus large de ces solutions.
Cette évolution vers l'automatisation est l'une des principales motivations des efforts déployés par Apple et Chrome pour réduire les périodes de validité des certificats.
Défis et considérations
Des périodes de validité plus courtes peuvent être nécessaires, mais elles peuvent également présenter des défis majeurs pour les organisations qui s'appuient encore sur des processus manuels. Il faut s'attendre à une augmentation des frais administratifs, et la fréquence accrue des renouvellements augmente considérablement le risque d'erreur humaine, ce qui pourrait entraîner des interruptions et des perturbations dans l'utilisation des certificats.
L'automatisation peut contribuer à résoudre ces problèmes, mais une approche proactive est essentielle ; cette transition prend du temps et il sera plus facile de s'y retrouver avant, et non après, la réduction de la durée de vie des certificats.
Adopter des durées de vie des certificats plus courtes pour une sécurité renforcée
La réduction de la durée de vie des certificats est en route - et il ne faut pas la redouter, mais plutôt l'accueillir comme une opportunité d'améliorer la cybersécurité et la conformité. Les solutions automatisées peuvent faciliter cette transition tout en aidant les entreprises à maintenir une visibilité et un contrôle maximums.
Prêt à faire cette transition ? Sectigo Certificate Manager (SCM) permet de rationaliser la gestion du cycle de vie des certificats. Offrant une visibilité complète via une plateforme cloud native, SCM optimise les processus CLM essentiels tels que la découverte, l'émission, le déploiement, la révocation et le renouvellement. Préparez-vous à la réduction de la durée de vie des certificats et tirez parti de la puissance de l'automatisation.