À première vue, l’utilisation de certificats SSL crée un sentiment de confiance pour les utilisateurs lorsqu’ils visitent un site web et voient le « cadenas vert » dans leur barre URL. Mais son importance va plus loin. Sans ces certificats, les entreprises risquent de compromettre la sécurité de leurs données sensibles et de se rendre vulnérables aux attaques de type « man-in-the-middle », à l’ingénierie sociale et aux pannes de système.
Tribune par Pierre Codis, Directeur de Ventes France Benelux et Europe du Sud, de Keyfactor – Il n’est donc pas surprenant qu’une organisation moyenne gère environ 23 000 certificats SSL . Toutefois, cette multitude de certificats s’accompagne d’un risque de mauvaise gestion, qui peut entraîner de graves violations de la sécurité. Selon une étude de 2024[1], 37 % des entreprises ont subi une panne de certificat qui a entraîné une perte de revenus – des pannes qui non seulement perturbent les services, mais peuvent aussi rendre les systèmes vulnérables. Comment gérer cette problématique ?
La menace croissante des attaques SSL/TLS
Une étude récente réalisée par Enterprise Management Associates a révélé que 80 % des SSL/TLS certificats sont vulnérables aux attaques. Compte tenu du nombre de certificats utilisés par le million de sites web les plus importants, il s’agit là d’une grave préoccupation.
Cette même étude a classé la cause première en trois catégories : les certificats expirés (6 millions), les certificats auto-signés (9 millions) et les protocoles obsolètes, tels que les entreprises utilisant TLS 1.2 et les versions antérieures au lieu de TLS 1.3, qui est plus sûr.
Ces vulnérabilités peuvent conduire à divers vecteurs d’attaque, notamment :
- Attaques Man in The Middle (MITM) : un attaquant génère un faux certificat pour se faire passer pour un site légitime, ce qui lui permet de décrypter, de visualiser et de modifier des données sensibles. Ces attaques peuvent également se produire lorsque des certificats frauduleux sont émis par une autorité de certification (AC) mal configurée ou compromise.
- SSL Stripping Attacks : Cette variante MITM furtive rétrograde les connexions HTTPS en connexions HTTP sans que l’utilisateur s’en rende compte. Elle supprime le chiffrement et expose les données en clair.
- SSL Attaque par renégociation : Le protocole SSL/TLS possède une fonction qui permet de renégocier une connexion sécurisée au cours d’une session active. Ce peut se produire lors de l’authentification du client après la connexion initiale ou lors de la modification des paramètres de cryptage en cours de session. Bien que la renégociation soit légitime, sans garanties appropriées, les attaquants l’exploitent pour injecter des données malveillantes dans une session SSL en cours, trompant ainsi le serveur ou le client en lui faisant accepter des données qui semblent faire partie d’une communication fiable.
- Le bug Heartbleed : Cette fameuse vulnérabilité permet à des attaquants de lire la mémoire de systèmes protégés par des versions vulnérables d’OpenSSL, exposant ainsi des informations sensibles.
- Certificat Wildcard : Ce type de certificat SSL sécurise un domaine principal et tous ses sous-domaines sous un seul certificat. Lorsqu’il est compromis, il permet aux attaquants d’accéder à une série de sous-domaines au sein de l’entreprise, provoquant une réaction en chaîne de compromission de la sécurité de plusieurs domaines.
Certaines attaques SSL peuvent entraîner l’effondrement total d’un site web, tandis que d’autres peuvent prendre un certain temps avant d’être découvertes. Le dénominateur commun est la rupture de confiance qui en découle. L’objectif de ces certificats est de garantir la confiance et l’authenticité, de sorte que lorsque cet objectif n’est pas atteint, la méfiance et l’atteinte à la réputation s’ensuivent généralement.
Pour les entreprises des secteurs hautement réglementés, les conséquences d’une attaque sur SSL vont au-delà de la conformité, qui peut entraîner des pénalités, des amendes et d’autres conséquences juridiques. Elles peuvent créer des vulnérabilités dans le dispositif de sécurité d’une entreprise, ouvrant ainsi la porte à d’autres types de cyberattaques.
Gestion et automatisation des certificats SSL
Les entreprises qui gèrent des milliers de systèmes sans automatisation des certificats ont souvent du mal à maintenir un inventaire à jour, en particulier lorsqu’elles s’appuient sur des feuilles de calcul ou des méthodes de suivi manuelles. Par conséquent, la plupart des attaques SSL sont dues à des problèmes de gestion des certificats, notamment des inventaires incomplets, des certificats expirés ou fantômes, des configurations erronées, des processus de révocation lents, etc.
Les entreprises qui ne disposent pas de capacités d’automatisation des certificats souffrent aussi fréquemment de mauvaises configurations. L’absence de gestion structurée et automatisée des certificats signifie qu’il n’y a pas de politiques standard pour guider le processus de déploiement des certificats. Cela peut conduire à des paramètres de chiffrement mal configurés, ce qui va à l’encontre de l’objectif principal d’un certificat SSL. Les attaques causées par une mauvaise gestion peuvent se produire aussi bien à petite qu’à grande échelle. Il peut s’agir d’une petite attaque de phishing sur des sites de paris ou d’une grande campagne de cyberespionnage. Ces dernières sont généralement menées à l’aide du site SSL et peuvent durer longtemps sans être détectées.
Automatisation des certificats
La gestion des certificats SSL peut être améliorée en remplaçant les processus manuels et/ou les feuilles de calcul par des outils d’automatisation des certificats. Ceci est d’autant plus important que Google a proposé, fin 2024, une validité de 90 jours pour les certificats TLS. Les entreprises qui n’investissent pas dans une pile d’automatisation complète pour la gestion des certificats SSL/TLS risquent d’avoir des administrateurs informatiques surchargés et épuisés, ainsi qu’un taux élevé de rotation du personnel.
L’automatisation des certificats réduit la probabilité d’une erreur humaine. Elle offre aux entreprises une visibilité en temps réel de leur inventaire de certificats, ce qui leur permet d’identifier rapidement les certificats compromis et d’y remédier.
[1] Etude Keyfactor 2024 PKI & Digital Trust
