Certificate Monitoring versus Certificate Lifecycle Management

La gestion du cycle de vie des certificats (CLM) automatise l'ensemble du processus des certificats, de l'émission à l'expiration : signature, validation, déploiement, renouvellement et révocation. Les outils CLM (comme Venafi, AppViewX, Keyfactor) sont complets mais complexes, et nécessitent :

• Des intégrations poussées avec les autorités de certification, les fournisseurs cloud et les infrastructures (Venafi compte plus de 189 intégrations)
• Des mises en œuvre longues, pouvant prendre des mois
• Des ressources considérables et continues (le manuel utilisateur d'AppViewX compte 2 261 pages)
• Un investissement substantiel avant de constater les premiers résultats

La surveillance des certificats se concentre sur la visibilité et l'observabilité après l'émission des certificats, en répondant à des questions clés telles que : Quand a-t-il été émis ? Où est-il déployé ? Est-il correctement configuré ? Va-t-il bientôt expirer ? Cette approche supprime la lourdeur technique des premières étapes du cycle de vie et fournit des informations en quelques minutes après l'intégration.

Red Sift Certificates offre une solution de surveillance des certificats avec :

• Un déploiement rapide (en quelques minutes, pas en mois)
• Une découverte automatique via les journaux de transparence des certificats, les analyses réseau et les intégrations cloud
• Une surveillance continue de l'expiration, de la révocation, des erreurs de configuration et des émissions incorrectes
• Des alertes et escalades en temps réel
• Une valeur immédiate pour les organisations confrontées à des interruptions dues à des certificats expirés, des échecs d'audit ou des problèmes de notation de sécurité

De quoi avez-vous besoin ? Si vous manquez de visibilité sur ce qui se passe après l'émission et que vous subissez des interruptions de service ou des échecs d'audit, la surveillance des certificats est la solution. Si vous n'avez pas encore automatisé les premières étapes du cycle de vie, envisagez une solution CLM — mais associez-la à une surveillance des certificats pour une visibilité complète de votre parc pendant la mise en œuvre de votre outil CLM.

Les certificats TLS – autrefois appelés certificats SSL et souvent désignés simplement par « certificats » – sont l'un des piliers essentiels de la sécurité d'Internet. Les certificats chiffrent les données pour garantir leur transmission privée entre votre navigateur, le site que vous visitez et le serveur du site.

Mais à mesure que le nombre de services requis par votre organisation augmente, votre dépendance au chiffrement et aux certificats augmente également. Là où il y a une dépendance, il y a probablement de la complexité et des problèmes, et là où il y a de la complexité et des problèmes, une méthodologie finit par voir le jour. Bienvenue dans le monde de la gestion du cycle de vie des certificats (CLM).

Le cycle de vie d'un certificat commence par la demande de signature de certificat (CSR) et se termine à la date d'expiration. Les CLM ont été créées pour automatiser l'émission, le renouvellement et le déploiement des certificats. Compte tenu du nombre d'étapes du processus – et des erreurs qui peuvent survenir – la CLM s'est imposée comme un moyen pour les équipes sécurité et IT de maîtriser leur parc de certificats.

Les logiciels CLM visent à :

• Automatiser les processus liés au cycle de vie des certificats.
• Minimiser les risques associés à la gestion d'une infrastructure à clés publiques (PKI) complexe.
• Fournir des rapports détaillés sur l'utilisation des certificats au sein de l'organisation.

Lorsque je discute avec d'autres âmes malchanceuses comme moi, chargées de comprendre et de travailler avec la PKI, trois fournisseurs de CLM reviennent souvent.

• Venafi
• AppViewX
• Keyfactor

La plupart des fournisseurs ont tendance à aller un peu plus loin et à parler d'abord de gestion des identités machines, mais une bonne CLM constitue un élément essentiel d'une stratégie de gestion des identités réussie. Je parlerai de chacun de ces fournisseurs plus en détail ailleurs.

« Gérer la complexité est une perte de temps, d'attention et d'énergie mentale inefficace et inutile. Rien ne justifie jamais que les choses soient complexes alors qu'elles pourraient être simples. »« Gérer la complexité est une perte de temps, d'attention et d'énergie mentale inefficace et inutile. Rien ne justifie jamais que les choses soient complexes alors qu'elles pourraient être simples. » Edward de Bono

Tous les fournisseurs de CLM partagent un trait commun : ils doivent être polyvalents pour tous les certificats. Par conception, ils doivent avoir une portée exhaustive afin de pouvoir signer, valider, émettre, déployer, révoquer et générer des rapports sur un certificat. Ce niveau d'automatisation nécessite :

• Des intégrations poussées avec les autorités de certification, les fournisseurs cloud, les fournisseurs d'infrastructure, les fournisseurs d'applications, les fournisseurs de matériel, et les dérivés de ceux-ci. Venafi compte 189 intégrations, et ce nombre continue d'augmenter.
• Une mise en œuvre et une documentation compliquées. Les déploiements CLM sont connus pour prendre parfois des mois. AppViewX possède un manuel utilisateur de 2 261 pages.
• Un engagement de ressources important de la part de l'organisation pour déployer et exploiter pleinement l'outil.

Ce niveau de complexité signifie que déployer et gérer un outil CLM constitue en soi un programme de travail difficile avant même de percevoir la moindre valeur. D'après mon expérience, j'ai discuté avec plusieurs équipes de sécurité et de cryptographie qui ont pris leurs distances avec l'exploitation opérationnelle de ce type d'outils, car cela mobilise considérablement leurs ressources.

La surveillance des certificats s'intéresse à l'observation des certificats sur certaines, mais pas toutes, les étapes de leur cycle de vie. Elle vise à poser et à répondre aux questions suivantes concernant un certificat :

• Quand le certificat a-t-il été émis ?
• Le certificat a-t-il été correctement émis ?
• Où le certificat a-t-il été déployé ?
• Le certificat est-il toujours déployé ?
• Le certificat a-t-il été révoqué ?
• Le certificat est-il sur le point d'expirer ?
• Existe-t-il des informations supplémentaires sur le certificat disponibles dans le compte de l'autorité de certification ?
• Quelle est la configuration du certificat ?

Fait essentiel, la surveillance des certificats se concentre sur la vérification du moment où un certificat est émis et des étapes nécessaires à son émission. Cela permet de supprimer la lourdeur technique et logistique des processus et intégrations requis lors des premières étapes du cycle de vie du certificat. Voici comment fonctionne la surveillance des certificats.

• Un certificat est émis ou découvert. Cela peut se faire via la surveillance des journaux de transparence des certificats, une évaluation d'hôte, une analyse réseau, ou via une intégration cloud avec une autorité de certification (CA) ou un fournisseur de cloud computing.
• Le certificat est vérifié. Vous appartient-il ? A-t-il été installé ? Où est-il installé ? Correspond-il à votre politique d'autorisation d'autorité de certification (CAA) ? A-t-il été émis par une autorité de certification que vous attendiez ? Est-il conforme à la transparence des certificats (CT) ? Sa validité est-elle inférieure à 398 jours ?
• Après vérification, si un problème est détecté avec le certificat, l'utilisateur recevra une escalade. Sinon, il sera tout de même informé de l'existence du certificat afin d'en être conscient.
• Si le certificat est installé, sa configuration sera surveillée en continu et l'utilisateur sera informé de tout problème.
• Si le certificat est installé, il sera surveillé jusqu'à sa date d'expiration. Vous recevrez des notifications afin de pouvoir le remplacer avant expiration. Il sera également surveillé en cas d'événement de révocation, et vous recevrez une notification si cela se produit.
• Si le certificat n'est pas installé, sa surveillance commencera dès son installation.
• Une fois le certificat désinstallé, il sera automatiquement retiré du compte de l'utilisateur.

Cela signifie que les informations nécessaires à la création, au tri et à la résolution des problèmes sont disponibles quelques minutes après l'intégration, et non des jours, voire des mois plus tard.

Pour les clients de Red Sift Certificates, cela s'est traduit par :

• La possibilité de profiter de leurs vacances de Noël sans se soucier des interruptions de service que pourraient causer des certificats expirés ou mal configurés, alors même qu'ils s'étaient intégrés à Red Sift Certificates seulement deux semaines avant la fin de l'année.
• En sept jours, la mise en place d'un flux Pub/Sub opérationnel recensant tous les nouveaux certificats émis appartenant à leur organisation.
• Une heure après l'intégration, la détection d'un certificat déployé sur un service clé et arrivant à expiration dans seulement trois jours.
• La possibilité de garantir un niveau de service assurant que tous les certificats seront remplacés au moins 14 jours avant leur date de renouvellement.

Le choix entre la surveillance des certificats et la gestion du cycle de vie des certificats dépend du problème que vous rencontrez.

Si votre organisation subit des interruptions de service pénibles, des échecs d'audit embarrassants, des conversations inconfortables au niveau du conseil d'administration au sujet de mauvaises notations de sécurité, et des risques liés à des acteurs malveillants externes en raison d'émissions incorrectes ou de mauvaises configurations, alors la surveillance des certificats est faite pour vous. Cette situation devient la norme, car la plupart des organisations disposent déjà de processus CLM pour gérer les étapes jusqu'à l'émission, mais manquent de visibilité sur ce qui se passe ensuite, en raison d'outils peu performants ou d'un manque d'investissement.

Si vous n'avez pas encore automatisé les premières étapes du cycle de vie du certificat, un outil CLM peut être une option à envisager. Mais un produit de surveillance des certificats comme Red Sift Certificates devrait être considéré dans le cadre de cette démarche. Non seulement vous constaterez que le produit offre une meilleure visibilité de votre parc de certificats une fois votre outil CLM déployé, mais il vous donnera également une visibilité sur votre parc de certificats existant pendant la mise en œuvre d'un outil CLM. Nos méthodes de découverte propriétaires permettent d'obtenir des résultats en quelques minutes, et non en plusieurs mois.

Red Sift Certificates est une application de surveillance des certificats qui s'affranchit de la lourdeur créée par les premières étapes du cycle de vie. Elle se concentre plutôt sur des outils d'automatisation de pointe, déployables en quelques minutes, offrant une visibilité immédiate et continue sur le parc de certificats d'une organisation, les certificats expirés, les expirations à venir, les erreurs de configuration et les émissions incorrectes.

Consultez nos guides pour découvrir comment Red Sift Certificates se compare à Venafi et AppViewX, ou regardez notre démo de Red Sift Certificates pour en savoir plus.