Un certificat expiré ou mal configuré, et c’est tout le système d’information qui vacille. Pourtant, trop d’entreprises restent aveugles aux failles cachées dans leur parc de certificats. Avec Command Risk Intelligence, Keyfactor offre un outil capable de vous offrir une pleine visibilité et détecter les risques avant qu’ils ne deviennent des menaces réelles.
Les certificats numériques sont la clé de la cybersécurité et de la confiance numérique. Ils sont partout dans le cyber espace. Ils sont utilisés pour l’authentification des serveurs web, des utilisateurs, l’accès aux VPN, le chiffrement de données, la signature électronique, la protection des objets connectés, la sécurisation des transactions financières, l’archivage électronique, le contrôle d’accès aux bâtiments et bien d’autres cas d’usage.
Ces certificats sont émis pour une durée limitée par une autorité de certification et peuvent être révoqués s’il le faut. Ce qui implique que les entreprises doivent gérer le cycle de vie de tous leurs certificats numériques. Cela inclut leur création, installation, surveillance, renouvellement, révocation, remplacement et mise hors service. Et ce travail est à la fois complexe, chronophage et critique. On comprend dès lors aisément que cette gestion de la multiplicité et de la diversité des certificats numériques soit un vrai challenge auquel s’ajoutent la diversité des fournisseurs et le respect des conformités. Chaque fournisseur propose ses propres outils mais bien des DSI sont désormais en quête d’outils à la fois plus universels et plus automatisés.
Visibilité, gestion et sécurisation
Il existe quelques outils automatisés sur le marché pour gérer l’inventaire des certificats, le renouvellement automatique, la surveillance en temps réel, l’intégration avec des autorités de certification, les notifications pour expiration ou vulnérabilités, et la génération de rapports détaillés. Parmi les plus connus, on citera notamment BerryCert, Global Sign, Keyfactor Command et Entrust. Néanmoins ces outils performants pour gérer le cycle de vie n’intègrent pas forcément les fonctionnalités nécessaires à une véritable gestion des risques liés aux certificats (BerryCert supervise néanmoins les activités critiques des certificats).
Cette semaine, le spécialiste de la confiance numérique des entreprises, Keyfactor annonce le lancement de ce que l’éditeur qualifie comme étant la première solution complète dédiée à la gestion des risques liés aux certificats : Command Risk Intelligence. Cette solution est en réalité une extension de Keyfactor Command, la solution de gestion du cycle de vie des certificats de Keyfactor.
Cette solution offre une visibilité complète sur tous les certificats utilisés dans une entreprise et aide à identifier et atténuer les risques avant qu’ils ne compromettent l’activité. Elle fournit des informations détaillées sur les risques et permet de suivre les mesures correctives au fil du temps. Elle permet ainsi aux entreprises d’identifier et de résoudre proactivement les vulnérabilités liées aux certificats avant qu’elles n’impactent leur activité.
Les risques liés aux certificats
Selon un récent rapport Keyfactor, 18% des certificats utilisés en ligne présentent des risques significatifs. Parmi les failles identifiées, on retrouve notamment des certificats à durée de vie excessive (un sur treize dépasse deux ans), des certificats sans spécification de « Key Usage » (donc champ restreignant les usages pour un certificat sur vingt-neuf) et des certificats avec numéros de série négatifs (un sur vingt-sept). Pire encore, 1 certificat sur 32 n’est pas émis par une autorité de certification répondant aux contraintes basiques, donc au minimum de fiabilité normalement requis.
Ces vulnérabilités, souvent invisibles aux yeux des équipes de sécurité, constituent pourtant des portes d’entrée potentielles pour les cyberattaquants.
Ted Shorter, CTO de Keyfactor, résume parfaitement cette situation : « Les certificats sont le fondement de la confiance numérique, mais uniquement lorsqu’ils sont correctement émis, gérés et sécurisés. Notre solution offre non seulement une visibilité sans précédent, mais également des informations exploitables pour renforcer la posture de sécurité de l’entreprise. »
Command Risk Intelligence se distingue par trois fonctionnalités clés : une visibilité exhaustive via une recherche avancée combinant les technologies existantes de Keyfactor et la plus grande base de données mondiale de certificats Internet ; un suivi détaillé des risques avec scoring dynamique permettant de comprendre et de remédier aux vulnérabilités ; et des capacités d’automatisation intégrées pour prioriser les corrections selon leur criticité.
L’arrivée de cette solution remet en lumière les questions de sécurité des certificats numériques alors que commence à poindre à l’horizon 2030 la nécessité d’opter pour des technologies de chiffrement post-quantique et donc le besoin pour les entreprises de disposer d’outils pour surveiller et moderniser les certificats.
puis