Certificats numériques : usages, enjeux et risques

Les certificats électroniques au cœur de la confiance numérique

Les certificats numériques (ou certificats électroniques) sont des fichiers informatiques signés par une autorité de certification qui garantit par cette signature que la personne, l’entité ou la machine (serveur, ordinateur, objet connecté, etc.) est bien celle qu’elle prétend être.

Au cœur de la confiance numérique, leurs usages sont multiples :

• Chiffrage de flux pour assurer la confidentialité des données ;
• Autorisation d’accès à une ressource numérique (authentification ou authentification forte) ;
• Mise en œuvre d’un modèle de sécurité ZeroTrust dont le principe est de « vérifier systématiquement l’identité et ne jamais faire confiance », qui implique que seuls les utilisateurs et les terminaux authentifiés et autorisés puissent accéder aux applications et aux données ;
• Sécurisation de la transformation Cloud des organisations, le cloud représentant désormais plus de 25 % des logiciels et des services numériques selon le cabinet d’analystes Markess by Exaegis ;
• Signature électronique, pour garantir la non-répudiation et l’intégrité des données ;
• Archivage à valeur légale afin d’assurer l’intégrité des données ;
• Sécurisation des sites web (certificats TLS / SSL) ;
• Protection et identification des objets connectés, dans un contexte où le marché mondial de l’IoT connait une croissance annuelle moyenne de 13%, selon GlobalData, et devrait franchir le cap des mille milliards de dollars à l’horizon 2024…

Explosion des certificats numériques : ce n’est que le début …

Dans un contexte de transformation numérique des entreprises, et plus généralement, de l’ensemble de la société, le volume de certificats explose. L’usage de certificats et le chiffrement des communications deviennent de facto la norme qu’il s’agisse de protéger le système d’information et les données des organisations ou de créer toutes les conditions pour renforcer la confiance numérique.

Selon Global Market Insights, la taille du marché des infrastructures à clé publique (Public Key Infrastructure, PKI) qui permettent de générer les certificats numériques, a dépassé les 3 milliards de dollars en 2022 et devrait croître à un taux annuel moyen de plus de 20% entre 2023 et 2032. À noter que ce marché est désormais mature avec une offre pléthorique, tant du côté des PKI d’entreprise, des autorités de certification publique que des PKI proposées par les Cloud Service Providers (CSP) eux-mêmes.

En parallèle, pour augmenter la sécurité, la durée de vie des certificats a considérablement été réduite, passant de cinq ans environ il y a une dizaine d’années à 13 mois en moyenne désormais. Une cadence notamment impulsée par les principaux navigateurs du marché, et l’adoption des référentiels Zero Trust.

Les impacts d’une mauvaise gestion des certificats électroniques 

L’explosion du nombre de certificats, couplée à la réduction de leur durée de vie, augmente les risques de certificats numériques non conformes ou expirés. Selon une étude de l’Institut Ponemon intitulé « L’impact des identités numériques non sécurisées« , publiée au premier trimestre 2019, 73 % des personnes interrogées ont ainsi déclaré que leur organisation a connu une interruption de service ou des pannes inattendues en raison d’une mauvaise gestion des certificats numériques et 55 % d’entre elles ont indiqué que quatre pannes minimum liées aux certificats s’étaient produites au cours des deux dernières années.

Outre les risques d’accès non autorisés à des ressources sensibles, les certificats non conformes ou expirés ont pour conséquence des interruptions de service, dont la durée moyenne est d’une à quatre heures, qui ont un impact direct sur la productivité des équipes en interne, sur le chiffre d’affaires, voire sur l’image des organisations. Le cabinet d’analystes Gartner estime que le coût moyen d’une interruption de service se situe autour de 300 000 dollars par heure d’interruption.

Les exemples d’interruption de service ou de dysfonctionnements dues à un certificat TLS/SSL expiré sont d’ailleurs nombreux (et retentissants), y compris dans les plus grandes organisations. Quelques exemples récents :

• Mai 2021 : portail d’administration Microsoft Exchange inaccessible
• Juillet 2020 : site internet de La Poste indisponible pendant plusieurs heures
• Août 2020 : panne mondiale de Spotify
• Mai 2019 : connexion non sécurisée à LinkedIn

Certificate Lifecycle Management : la gestion du cycle de vie des certificats numériques

Toujours dans son étude, l’Institut Ponemon indique que 71 % des personnes interrogées indiquent leur organisation ne connait pas le volume de certificats qu’elles utilisent, tandis que 74 % déclarent que leur entreprise ne sait pas quels certificats sont utilisés, où les trouver ou quand ils expirent. Tandis que selon une étude menée par Opinium auprès de plus de 300 professionnels de l’informatique aux États-Unis et au Royaume-Uni, 36 % d’entre eux s’appuient sur des feuilles de calcul Excel pour gérer les certificats, alors que des outils qui permettent d’automatiser cette gestion sont disponibles.

Pour éviter les coûts et les risques associés au travail chronophage et fastidieux d’inventaire, de renouvellement et de vérification de la conformité des certificats, le cabinet Gartner recommande de s’équiper d’un outil de gestion des certificats (Certificate Lifecycle Management, CLM) au-delà de 100 certificats déployés.

Ces solutions de CLM s’inscrivent dans une démarche globale de gestion des certificats, comprenant :

• La découverte automatique de l’ensemble des certificats ;
• La cartographie et l’audit du parc de certificats électroniques ;
• La visualisation en temps réel de l’ensemble des certificats ;
• La détection des éventuelles anomalies, tels que les certificats expirés ou non-conformes ;
• La possibilité de recevoir une alerte lorsqu’un certificat arrive à expiration ou est non-conforme ;
• La centralisation et le monitoring des certificats et des PKI ;
• Les audits de conformité ;
• L’approbation des demandes de certificats numériques ;
• L’automatisation des renouvellements, du déploiement et des révocations

Ces outils de gestion des certificats proposent une gestion centralisée et uniformisée des certificats au sein d’une interface unifiée, permettant aux équipes chargées de la cybersécurité des organisations de gagner en productivité de 50 %, de réduire les risques d’interruptions de service de 90 %, de garantir la conformité et de déployer leurs efforts sur d’autres tâches, moins répétitives et à plus forte valeur ajoutée.

Chez Digitalberry, notre équipe d’experts en cyber sécurité a conçu une solution CLM « frenchie » : BerryCert sécurise, centralise et automatise la gestion de vos certificats numériques. N’hésitez pas à prendre contact avec notre équipe pour une démonstration personnalisée et gratuite de notre solution.