Les identifiants statiques restent la voie d'entrée la plus facile pour l'IA

L'IA n'a pas inventé la crédentialisation sur-privilegiée, elle a juste trouvé le moyen le plus rapide de l'utiliser. Chaque agent, script et intégration fonctionnant dans votre environnement s'authentifie avec quelque chose, et dans la plupart des environnements, ce quelque chose est un mot de passe, une clé API ou un jeton émis une fois et jamais réutilisé. Une personne oublie un mot de passe et finit par être bloquée. Une identité machine continue simplement d'utiliser ce qui lui a été donné, tant que personne ne regarde.

Plus d’identités, plus de violations

Nous avons interrogé 2 317 responsables de la sécurité et de l'informatique cette année, et le chiffre le plus clair dans les résultats était le suivant : les organisations où l'IA a considérablement augmenté le nombre d'identités dans leur environnement ont signalé un taux de violation de 43 % au cours des 12 derniers mois. Les organisations où l'IA n'a pas beaucoup modifié leur nombre d'identités ont signalé 11 %. C'est une différence de 4 fois, et ce n'est pas parce que le groupe fortement axé sur l'IA avait une sécurité globalement plus faible. Nos données montrent qu'ils étaient en avance sur la plupart des bases.

Là où ils n'étaient pas en avance, c'était identité non humaine gouvernance. Soixante-seize pour cent des organisations nous ont dit qu'elles ne gouvernent ni ne surveillent pleinement leurs identités non humaines, et seulement 19 % ont dit qu'elles le faisaient. C'est la population que l'IA traverse : un ensemble croissant d'identités machines, dont la plupart s'authentifient avec un justificatif que personne n'a vérifié depuis le jour de sa délivrance.

Identifiants statiques

Un identifiant statique n'expire pas de lui-même, ne se renouvelle pas automatiquement et ne se soucie pas du nombre de fois où il est utilisé. C'est ce qui le rend dangereux une fois qu'il est intégré dans un système automatisé. Une personne utilisant un mot de passe volé finit par être remarquée. Un agent IA ou un script utilisant un identifiant volé continue simplement de fonctionner, à la vitesse que le flux de travail permet, jusqu'à ce que quelqu'un le découvre.

Étapes pour sécuriser les identifiants NHI

1. Voûte

La première étape consiste à extraire les identifiants des scripts, fichiers de configuration, feuilles de calcul et code source pour les intégrer dans un système conçu pour les stocker. Cela semble simple et l’est rarement. Un coffre-fort doit fonctionner à travers des applications stratégiques et héritées, couvrir différents modes d’accès selon la manière dont chaque application utilise un identifiant, et prendre en charge à la fois l’intégration centralisée et la réalité selon laquelle certaines équipes ajouteront toujours des identifiants manuellement. En pratique, cela signifie une architecture multi-niveaux : une couche de présentation pour les utilisateurs, un serveur d’application qui applique la logique métier et les permissions, et une couche de base de données qui stocke réellement les secrets, avec la possibilité de déployer plusieurs serveurs d’application pour répartir la charge entre des équipes géographiquement distribuées. La mise en coffre est aussi l’étape qui rapporte le plus rapidement, car c’est la différence entre un identifiant que tout le monde peut trouver et un identifiant réellement contrôlé.

2. Chiffrement

Une fois qu’un identifiant est dans un coffre, il doit rester chiffré, avec les clés de chiffrement gérées aussi soigneusement que les identifiants eux-mêmes. Cela signifie plus que simplement activer AES et considérer que c’est fini. Un coffre correctement construit doit utiliser un chiffrement authentifié (AES-GCM 256) pour les identifiants, des fonctions robustes de dérivation de clés avec un nombre élevé d’itérations pour le hachage des utilisateurs et des clés, et la cryptographie à courbe elliptique pour l’échange de clés publiques-privées. Chaque conteneur secret doit avoir son propre sel généré aléatoirement, et chaque mot de passe, utilisateur et rôle doit avoir sa propre paire de clés, de sorte que l’accès soit chiffré de manière hiérarchique plutôt que contrôlé par une seule clé partagée. Pour les environnements synchronisés avec Active Directory, un mode de chiffrement de bout en bout, où le serveur lui-même n’a jamais accès au texte en clair, devrait être disponible comme option la plus forte, ainsi qu’un mode clé maître pour les organisations nécessitant une récupération centralisée. La clé maître elle-même doit résider dans un matériel, pas dans un fichier de configuration, protégée par un HSM. Passer un mot de passe de texte clair à un coffre chiffré construit de cette manière est la manière la plus courante pour les organisations de réduire le risque lié aux identifiants, et c’est l’étape la plus accessible pour les équipes qui n’ont pas encore abordé la sécurité NHI.

3. Cyclisme et rotation

Faire tourner régulièrement les identifiants réduit les risques liés aux employés partis, nettoie l'exposition présente dans les anciens codes et scripts, et fait souvent apparaître des dépendances que personne ne connaissait. C'est aussi l'étape la plus difficile à exécuter. Si vous ne connaissez pas chaque script et intégration qui dépend d'un identifiant donné, le faire tourner peut casser la production au lieu de réduire le risque.

La rotation ne fonctionne que comme un processus continu et automatisé étroitement lié au coffre-fort qui détient les identifiants, et non comme une tâche manuelle dont quelqu’un se souvient. Cela signifie des réinitialisations déclenchées, pas des rappels calendaires : réinitialiser un identifiant un certain nombre de minutes après sa consultation, après qu’il soit resté inchangé pendant un nombre défini de jours, ou une fois expiré. Cela signifie également que le processus doit se protéger lui-même. Si une réinitialisation scriptée échoue en cours de route, sur un compte Active Directory, un utilisateur local Windows ou Linux, ou un compte de service, le système doit automatiquement revenir à la dernière valeur connue valide de l’identifiant et enregistrer l’échec, plutôt que de laisser un compte de service dans un état partiellement modifié et défectueux. Chaque réinitialisation, retour en arrière et blocage est enregistré, de sorte qu’une rotation échouée est immédiatement visible au lieu d’apparaître trois semaines plus tard comme une panne inexplicable.

La plupart des organisations qui réalisent de réels progrès maîtrisent d'abord le vaulting et le chiffrement, puis développent une rotation automatisée basée sur des déclencheurs une fois qu'elles comprennent suffisamment leurs dépendances pour la configurer en toute sécurité.

Découvrez Password Secure

Chaque compte de service et compte d'application lié à Active Directory passe par le même moteur de politique que vos employés, que quelqu'un l'applique ou non.Netwrix Password Secure couvre directement les trois étapes.

Il vous offre un coffre-fort unique chiffré pour les identifiants utilisateur, administrateur et service, avec une cryptographie conforme à la norme FIPS (AES-GCM 256, dérivation de clé renforcée PBKDF2 et échange de clés à courbe elliptique NIST P-521) protégeant chaque secret. L'accès basé sur les rôles signifie que seules les personnes et processus ayant besoin d'un identifiant peuvent le récupérer, et un registre complet enregistre chaque retrait, réinitialisation et retour en arrière, afin que vous puissiez savoir qui a accédé à un identifiant donné et quand. De plus, la réinitialisation de mot de passe configurable et déclenchée gère la rotation : les identifiants sont réinitialisés automatiquement selon un calendrier ou une condition définie, avec une protection contre les retours en arrière si un système cible rejette la modification.

C’est l’écart entre un mot de passe de compte de service qui vit indéfiniment dans un tableur, jamais renouvelé parce que personne ne veut risquer de casser quelque chose, et un mot de passe stocké quelque part où il est chiffré, contrôlé en accès, journalisé et renouvelé selon un calendrier que l’organisation contrôle réellement.