Définir les périodes de validité optimales des certificats de PKI peut s’avérer complexe et décourageant. Les conséquences pour la sécurité du réseau et l’efficacité opérationnelle étant importantes, les entreprises se retrouvent donc confrontées à deux possibilités : fixer une période de validité trop longue et se heurter potentiellement à des problèmes de conformité ou de normes de sécurité ou, fixer une période trop courte et devoir gérer une charge administrative lourde augmentant le risque de perturbations et des pannes. Le choix de la bonne période de validité dépend ainsi de plusieurs facteurs, tels que le type de certificat, son cas d’utilisation et les meilleures pratiques en matière de sécurité.
Tribune Keyfactor – Dans ce contexte, quelle approche adopter pour prendre les décisions relatives à la PKI et éviter les pièges liés aux certificats ?
Les éléments à prendre en compte pour choisir la bonne période de validité
La détermination de la période de validité de la PKI repose sur plusieurs facteurs. Il convient tout d’abord de définir le point d’équilibre entre sécurité et durée de vie puis de trouver le compromis entre la force de la clé et le coût de calcul. Il est enfin essentiel d’adapter les périodes de validité en fonction des types de certificats.
Longueur de la clé et ressources informatiques
Les clés plus longues sont plus sûres, mais elles impliquent un compromis en termes de ressources informatiques requises. Cela est particulièrement important dans les environnements où les ressources et la puissance de traitement sont limitées, tels que les appareils IoT. Or, l’augmentation des ressources peut entraîner des problèmes de latence qui entravent, voire empêchent le fonctionnement d’applications ou d’appareils en temps réel. Toutefois, certains algorithmes asymétriques permettent d’atténuer ces contraintes de calcul. Ainsi, la cryptographie à courbe elliptique (ECC) offre une sécurité comparable avec des longueurs de clé plus courtes que l’algorithme RSA.
Différents types de certificats, différentes périodes de validité
L’exposition et l’utilisation des certificats déterminent leurs périodes de validité. Les certificats SSL/TLS, qui constituent la base de la sécurité sur internet, ont généralement des périodes de validité plus courtes (90 jours selon les recommandations de Google). En revanche, les certificats de signature de code, qui sont souvent utilisés pour authentifier des logiciels et sont moins exposés à une interaction directe avec le public, ont généralement des périodes de validité plus longues, de 3 à 5 ans. Enfin, les certificats internes, utilisés pour les serveurs et les applications internes, sont les plus flexibles. Leur période de validité doit être ajustée en fonction de la politique de sécurité et de la tolérance au risque opérationnel de chaque entreprise.
Bonnes pratiques en matière de révocation
Pour gérer la révocation des certificats, nécessaire pour maintenir la sécurité des PKI, certaines pratiques sont à considérer :
Gestion de l’expiration des certificats
Lors du remplacement d’un certificat arrivant à expiration, il n’est pas nécessaire de le révoquer prématurément. Il est plus pratique de laisser coexister l’ancien et le nouveau certificat pendant la période de chevauchement, ce qui atténue les interruptions de service. Cette pratique permet une transition transparente tout en maintenant une couverture de sécurité continue sans nécessiter d’intervention manuelle au moment de l’expiration.
Réaction en cas de compromission d’un certificat
Si un certificat est compromis, mal utilisé, mal configuré ou si le statut du détenteur a changé, une révocation active est nécessaire. La révocation rapide de ces certificats annule toute confiance précédemment établie par les certificats compromis et empêche leur exploitation par des utilisateurs non autorisés.
Utilisation des listes de révocation de certificats (CRL)
Les CRL, fichiers mis à jour et publiés régulièrement par l’AC, facilitent la gestion des révocations. Ils fournissent un enregistrement de tous les certificats révoqués avec leur date de révocation. Les systèmes qui doivent vérifier la validité d’un certificat peuvent se référer à ces listes pour éviter d’accepter un certificat révoqué, ce qui renforce la sécurité globale.
Mise en œuvre du protocole d’état des certificats en ligne (OCSP)
Les contrôles de révocation peuvent également être gérés par ce protocole qui, contrairement aux CRL qui nécessitent un téléchargement et une vérification de la liste, permet des vérifications d’état en temps réel sans avoir à gérer de gros fichiers. Cette méthode réduit la latence et les frais généraux associés aux téléchargements traditionnels de CRL.
Mettre l’accent sur la révocation et la réémission en bloc
Lorsque plusieurs certificats sont compromis une révocation et une réémission en bloc doivent être envisagées. Cette opération peut être gérée à l’aide d’un outil de gestion du cycle de vie des certificats, qui facilite la révocation rapide des certificats concernés et la réémission en temps voulu de nouveaux certificats.
Documentation et mise à l’échelle grâce à l’automatisation
À mesure que les entreprises gèrent un plus grand nombre de certificats avec des périodes de validité plus courtes, l’automatisation devient nécessaire pour un renouvellement efficace.
Chaque certificat doit être méticuleusement documenté, car une seule expiration non suivie peut provoquer des pannes et des interruptions. Une documentation minutieuse via un outil de gestion du cycle de vie des certificats (CLM) est donc recommandée. Une documentation complète à travers toutes les équipes et tous les outils est nécessaire pour prévenir les lacunes dans le suivi des certificats et maintenir la continuité opérationnelle de l’entreprise.
L’augmentation du nombre d’incidents de cybersécurité s’accompagne d’une tendance à la réduction des périodes de validité des certificats. Si, les entreprises ont la possibilité de fixer les périodes de validité qu’elles jugent appropriées, les meilleures pratiques restent souvent influencées par des systèmes tiers. Comme ces systèmes largement utilisés s’accompagnent de leurs propres normes de sécurité, ils finissent par pousser l’industrie vers des périodes de validité plus courtes. Cette évolution devrait se poursuivre à mesure que les entreprises prennent conscience de la nécessité de respecter les meilleures pratiques en matière de sécurité. Combinées, ces mesures cruciales permettront non seulement de prévenir les pannes potentielles, mais aussi d’améliorer la gestion des certificats dans des environnements informatiques de plus en plus complexes.
