Pour de nombreuses organisations, la gestion des certificats SSL/TLS se résume encore à un tableur, un rappel dans l'agenda et un appel téléphonique à 03:00 lorsqu'un certificat expire de manière inattendue. Les risques ne se limitent pas aux pannes : des algorithmes de hachage faibles tels que SHA-1 et MD5, des clés de courte longueur, des certificats auto-signés qui n’ont jamais été remplacés après le passage de l’environnement de développement à l’environnement de production, ainsi que des autorités de certification non autorisées peuvent tous persister sans être détectés au sein d’un environnement d’entreprise. Tanium Certificate Manager a été conçu pour répondre précisément à ce problème, en commençant par la visibilité et en s'étendant désormais au contrôle complet du cycle de vie des certificats.
Dans cet épisode, Laura vous présente les deux catégories de certificats répertoriées par Certificate Manager : les certificats de services d'écoute détectés lors de balayages de ports autonomes et les certificats au repos présents sur le disque, notamment dans le magasin de certificats Windows et dans des chemins d'accès Linux prédéfinis.
Elle vous présente ensuite en direct l'ensemble du processus de remplacement. La démonstration présente la génération de CSR directement dans Tanium, la distribution des certificats à tous les terminaux qui détenaient le certificat d'origine, la configuration des services à l'aide de modèles de packages réutilisables, ainsi que l'étape finale consistant à supprimer les artefacts intermédiaires, y compris les clés privées.
Si vous gérez des certificats au sein d’un vaste parc de terminaux d’ et que vous souhaitez découvrir à quoi ressemble un processus de remplacement structuré et vérifiable au sein d’une plateforme unique (notamment la manière dont Tanium gère les certificats génériques répartis sur plusieurs machines sans nécessiter de sessions RDP manuelles), ce guide pratique mérite que vous y consacriez un peu de temps. Regardez la démonstration complète dans la vidéo ci-dessous.
Points clés
- Les tableurs ont été à l'origine de la création de ce module : Tanium Certificate Manager a vu le jour après que des clients ont signalé qu'ils géraient leurs certificats dans Excel, ce qui rendait difficile de savoir quels certificats arrivaient à échéance et à quelle date. Cela a conduit Tanium à développer des fonctionnalités de visibilité directement sur le terminal.
«En gros, des clients sont venus nous voir pour nous dire qu’ils géraient leurs certificats dans Excel, ce qui n’est évidemment pas idéal pour de nombreuses raisons, la principale étant qu’il est difficile de savoir quels certificats arrivent à expiration et à quelle date. »Laura Iliescu, directrice de la gestion des produits pour Certificate Manager chez Tanium
- Deux catégories de certificats : Certificate Manager distingue les certificats de service en écoute (ce que le secteur appelle un « service cert », détecté par un balayage de ports) et les certificats à risque présents sur le disque, qui sont classés comme « au repos » et comprennent notamment les certificats VPN et les certificats clients Wi-Fi.
- Les analyses de ports constituent des « » autonomes : lorsque l'analyse de ports est activée, le périphérique procède à son propre balayage (en parcourant un port pour déterminer quelle version de TLS il prend en charge, quelles suites de chiffrement il accepte, puis en établissant cette connexion TCP et en effectuant diverses procédures de négociation TLS/SSL) plutôt que de réaliser des analyses réseau ou des analyses authentifiées. L'analyse des ports est facultative et configurable ; il est possible d'exclure certains ports.
- Les risques liés aux certificats sont automatiquement mis en évidence : la page de synthèse présente les risques liés aux certificats, notamment les clés courtes, les algorithmes de hachage faibles tels que SHA-1 et MD5, les certificats auto-signés et les autorités de certification non autorisées, offrant ainsi aux équipes une visibilité immédiate sur les risques dont elles ignoraient peut-être l'existence dans leur environnement.
«Et mon objectif est le suivant : dès que vous voyez un certificat, enregistrez-le dans Tanium. »Laura Iliescu, chef de produit Tanium Certificate Manager
- du workflow de remplacement de bout en bout : le processus de remplacement se déroule en quatre étapes : la génération d’une demande de certificat (CSR) avec des informations préremplies et modifiables, la distribution du nouveau certificat et de la clé privée à tous les terminaux qui détenaient l’original, la configuration du service à l’aide de modèles de packages réutilisables pour l’arrêt, le redémarrage et la vérification, et la finalisation, qui nettoie l’étape intermédiaire de mise en attente et est configurable avec un délai d’expiration par défaut de 14 jours.
- Les clés privées ne transitent pas par la chaîne linéaire Tanium au cours du processus de remplacement : la distribution des certificats s'effectue par communication directe avec le terminal. Le processus de distribution des certificats n'envoie pas la clé privée via la chaîne linéaire Tanium et, une fois l'opération finalisée, la clé privée est supprimée du service de gestion des secrets Tanium.
«» Eh bien, pour commencer, le fait que nous puissions remplacer cela à grande échelle, c’est énorme. Grâce aux caractères génériques, vous n'avez pas besoin de vous connecter manuellement via RDP à chaque appareil. »Laura Iliescu, directrice de la gestion des produits pour Certificate Manager chez Tanium
- Remplacement à grande échelle des certificats génériques : Tanium identifiant les terminaux qui disposaient du certificat d'origine, il gère automatiquement le ciblage en arrière-plan, ce qui permet de remplacer à grande échelle les certificats génériques répartis sur plusieurs machines sans avoir à se connecter manuellement à chaque appareil.
Ressources complémentaires
- de Tanium Certificate Manager : Découvrez comment Tanium offre une visibilité en temps réel sur les certificats de tous les terminaux afin d’aider les équipes à détecter les certificats fragiles, inconnus ou arrivant à expiration avant qu’ils ne provoquent des interruptions de service ou des failles de sécurité.
- Bénéficiez d'une visibilité et d'un contrôle avancés grâce à Tanium Certificate Manager : découvrez comment Tanium étend la gestion des terminaux grâce à une visibilité en temps réel sur les certificats et à des workflows de remplacement automatisés, afin de réduire les risques liés à l'expiration et d'éliminer les vulnérabilités liées aux certificats.
- Certificate Manager – Tech Talks n° 56 : Visibilité et contrôle du cycle de vie des certificats d'entreprise : un aperçu détaillé des fonctionnalités de Tanium Certificate Manager, notamment la détection des certificats sur les serveurs et les postes de travail, l'inventaire des certificats et des algorithmes de chiffrement afin de soutenir les efforts de préparation à l'ère quantique, ainsi que l'identification des algorithmes de chiffrement et des configurations vulnérables qui augmentent les risques liés à la sécurité et aux interruptions de service.
- Comment gérer le cycle de vie des certificats SSL/TLS sur l'ensemble des terminaux d'entreprise : un aperçu des défis auxquels sont confrontées les entreprises pour suivre et remplacer les certificats à grande échelle, et comment les approches axées sur les terminaux améliorent la visibilité et réduisent le risque lié à l'expiration.
- relative à la configuration de Tanium Certificate Manager et aux paramètres de détection des certificats : documentation technique expliquant comment configurer l'analyse des ports, définir des autorités de certification de confiance et configurer les sources de certificats, notamment le magasin de certificats Windows et les chemins d'accès aux fichiers sous Linux.
