L’art de protéger les secrets : 8 concepts essentiels

Le problème est que la gestion des secrets reste un défi majeur pour les organisations. En effet, dans une récente étude 75 % des personnes interrogées* (décideurs en informatique et en sécurité) ont déclaré avoir déjà connu une fuite passée et moins de la moitié (48,1 %) étaient totalement confiantes dans leur capacité à prévenir les futures fuites. Aussi, les identifiants volés sont utilisés dans près de la moitié (49 %) des violations** pour accéder initialement aux systèmes d'une organisation et continuent d’être un problème majeur.

Il n'est donc pas difficile de voir la pression s'accumuler sur les épaules des professionnels de la sécurité. Des solutions permettent de détecter, corriger et prévenir les fuites de secrets à grande échelle. Cela est exécuté en partageant la responsabilité et en évitant de submerger les individus.

Il existe des informations qui peuvent aider les professionnels de la sécurité à trouver un équilibre entre sécurité et efficacité dans leur approche des secrets. Ces "règles de base" ne sont pas des lignes directrices opérationnelles. Elles servent de rappels de concepts importants liés à la protection des secrets des organisations.

En cas de fuite, la rotation ne sert à rien, c'est la révocation qui compte. Lorsqu'une compromission est détectée, il est essentiel de révoquer d'abord l'identifiant pour invalider ses autorisations (puis le remplacer). En conséquence, une politique de rotation des secrets n’est jamais un substitut pour répondre à un incident de fuite de secrets. Il est donc indispensable d'avoir un mécanisme bien testé pour révoquer ou invalider les identifiants compromis.

Comme une machine bien huilée, le système de gestion des identifiants doit fonctionner sans accrocs. La gestion des secrets doit avoir des boucles fermées (un mécanisme qui régule automatiquement un système pour maintenir un état souhaité sans nécessiter d'interaction, comme un thermostat). Cela est essentiel pour pouvoir voir un nouvel identifiant partout où il doit être avant de l'utiliser, et pour voir un identifiant désactivé disparaître de l'utilisation avant de le désactiver (les identifiants désactivés sont une source courante de pannes !) Et bien sûr, il faut garder un œil sur les attaquants qui essaient de contourner ces contrôles.

Les professionnels de la sécurité doivent être en mesure de voir quand et où un identifiant est utilisé ou divulgué. C'est essentiel pour la sécurité opérationnelle. Sinon, comment détecter un identifiant volé ? C'est comme essayer d'attraper un voleur sans caméras de sécurité. Les entreprises ont besoin de cette couche de protection supplémentaire pour garder leurs secrets en sécurité. 

Les durées d'expiration peuvent être à la fois bénéfiques et risquées en matière de gestion des secrets. La plupart des gestionnaires de secrets offrent la possibilité de définir des conditions basées sur le temps pour les secrets, mais il est important d'aborder cette fonctionnalité avec prudence. D'une part, une longue durée d'expiration donne aux attaquants une plus grande fenêtre d'opportunité pour exploiter les identifiants volés, ce qui contrecarre l'objectif de la durée d'expiration. D'autre part, une durée d'expiration courte nécessite un renouvellement diligent pour éviter les blocages de compte de service et les difficultés potentielles de résolution des problèmes. Les identifiants de courte durée de vie nécessitent beaucoup de ressources, que la plupart des organisations n'ont tout simplement pas ! Trouver le bon équilibre entre sécurité et praticité est une tâche délicate, mais cruciale à accomplir. En utilisant les rôles et les dates d'expiration de manière judicieuse, vous pouvez éviter les blocages de compte de service et rendre le processus de résolution plus fluide et plus efficace.

Le stockage des identifiants est simple, mais souvent négligé. Il est trop courant de voir des “store” centralisés de secrets qui représentent un point de défaillance unique. Il est plus sûr de les distribuer judicieusement et de s'assurer que seules les parties nécessaires y ont accès.

La sécurité des secrets dépend en fin de compte des mesures de sécurité mises en place par le système d'hébergement. Les enclaves sécurisées sont considérées comme offrant le plus haut niveau de sécurité grâce à leur capacité à isoler le code et les données des applications des utilisateurs privilégiés, ainsi qu'à chiffrer la mémoire sur chaque serveur. Cela est réalisé grâce à l'isolation matérielle au niveau du processeur et au chiffrement de la mémoire, ce qui garantit que l'accès non autorisé aux secrets est quasi-impossible. C'est là que le "secret zéro", tel que les certificats racine, doit être conservé. Les identifiants inaccessibles doivent être stockés dans des endroits tels que les TPM, les TEE ou les HSM.

Il n'y a pas de mal à admettre que l’on est dépassé et, il vaut mieux laisser les experts se charger de mettre en œuvre le système d’authentification. Heureusement, il existe de nombreuses solutions open-source matures disponibles qui peuvent fournir des mécanismes d'authentification fiables. Certaines de ces solutions sont à découvrir dans le référentiel awesome-auth.

Les défaillances des systèmes d'entropie et les erreurs de codage sont suffisamment courantes pour qu'il soit conseillé de vérifier régulièrement les identifiants "tous-zéros" et les valeurs répétées. Cela peut être fait en comparant les hashs. Il est crucial pour les organisations de donner la priorité à la protection de leurs secrets et d'améliorer continuellement leurs pratiques de gestion des secrets afin de réduire les risques.

Pour récapituler, voici une liste de contrôle à garder à l'esprit :

• Donner la priorité à la révocation plutôt qu'à la rotation
• Mettre en place des boucles fermées
• Utiliser des contrôles de détection et des journaux
• Considérer attentivement les délais d'expiration et le stockage des identifiants
• Tirer parti des enclaves sécurisées
• Ne pas mettre en œuvre votre propre authentification
• Vérifier régulièrement les secrets faibles

* Voice of Practitioners : l’état des secrets en sécurité applicative

**Verizon 2023 DBIR