Identités machine : pourquoi l'automatisation est la solution à la crise sécuritaire actuelle

Les identités machine forment le socle de notre univers digital. Elles sont indispensables pour sécuriser les connexions entre appareils et assurer leur fiabilité.

A l’heure où les entreprises poursuivent leur transformation digitale, le nombre et la variété de machines connectées à leurs réseaux, et donc celui d’identités machine, augmente de façon exponentielle. Une tendance dopée par la pandémie, qui a stimulé leurs ambitions digitales, notamment leur passage à des environnements cloud-native nécessitant par nature encore plus d’identités machine. 

Pourtant, malgré cette croissance massive et la complexité accrue qui en résulte, la plupart des DSI et RSSI n’ont pas revu pour autant leurs budgets à la hausse pour les gérer. Ils comptent toujours sur des approches manuelles ou compartimentées pour gérer ces actifs critiques pour leur sécurité.

Transformation digitale en marche et multiplication des identités machine

Une identité machine tombée entre de mauvaises mains peut permettre à des personnes malintentionnées de se déplacer au sein de systèmes, de gagner de nouveaux droits d’accès et d’ouvrir des portes dérobées ou backdoors. De même, parce que les identités machine authentifient les communications entre machines, si une identité vient à expirer ou est mal configurée, ce lien de connexion est alors rompu, entraînant des interruptions coûteuses et délétères.

Ces dernières années, nous avons assisté à plusieurs cas de gestion ratée d’identités machine, aux conséquences tragiques, expliquées en partie par une gestion des certificats complètement inadaptée.  

Pourquoi la gestion des identités machine gagne en complexité

Voici les 4 principaux facteurs qui augmentent les risques de mauvaise gestion des identités machine :

• Volume. L’adoption du cloud stimule l’essor des identités machine. Le cloud fonctionne uniquement s’il repose sur un système robuste d’identification, dans la mesure où tout est effectué à distance, chaque machine devant s’assurer que celle d’en face est bien ce qu’elle prétend être. Gérer un vaste parc d’identités requiert donc bien plus que quelques heures accordées ponctuellement à des chiffres dans une feuille de tableur.
• Vélocité. Au vu de l’importance d’une forte authentification dans le cloud, les cycles de vie des identités machine sont plus courts. 61% des organisations indiquent que leur environnement de cloud est modifié au maximum chaque minute, près d’un tiers affirmant que ce changement intervient au moins une fois par seconde, là où par le passé des identités machine avaient une durée de vie de plusieurs mois voire plusieurs années. Cette dynamique au niveau des identités machine et la vitesse à laquelle travaillent désormais les développeurs, montrent que la thématique de l’identité est sous stéroïdes, nécessitant une gestion du cycle de vie ultra-réactive.
• Variété. L’informatique gagne constamment en complexité, avec des couches d’abstraction multiples. Des micro-services, conteneurs, clusters et réseaux virtuels jusqu’aux solutions PaaS (Platform as a Service) en passant par les algorithmes et les réseaux neuronaux, les machines se présentent sous de très nombreuses formes nécessitant différentes identités et spécifications. Une fois ajoutée la myriade d’autres appareils utilisés par les entreprises, le résultat de l’équation permet d’obtenir un environnement aux multiples facettes extrêmement difficile à gérer manuellement.
• Vulnérabilité. Les personnes malintentionnées ciblent de plus en plus les identités machine pour que leur campagne aboutisse, sachant qu’elles sont souvent insuffisamment protégées. Pourtant, on voit encore des autorités de certification (CA) valider des identités machine qui introduisent de nouveaux risques. Récemment, la CA Let’s Encrypt a découvert l’existence d’un bug et révoqué plus de deux millions de certificats en l’espace de deux jours. Lors d’événements de ce type, les entreprises concernées se précipitent alors pour échanger leurs certificats afin d’éviter des interruptions de leur activité et se prémunir d’éventuelles attaques. Or pour une entreprise disposant d’un vaste parc d’identités machine, ce processus est considérablement chronophage.

L’automatisation est vitale

Ces quatre "V" prouvent à quel point l’automatisation est absolument critique pour une gestion efficace des identités machine. Les identités machine sont essentielles pour l’innovation à un rythme soutenu. Or, sans gestion automatisée, la transformation digitale marquera le pas en raison des problèmes de sécurité et de fiabilité qui surgissent, avec la capacité de mettre à terre une organisation dans sa totalité.

Puisque la transformation digitale est en marche, l’automatisation présente l’avantage de soulager les équipes informatiques et celles chargée de la sécurité, déjà sursollicitées. Dégagées de ces questions, elle leur permet d’innover rapidement. Face à la recrudescence des interruptions d’activité et des brèches de sécurité lourdes de conséquences, induites par la complexité croissante des environnements des identités machine, les entreprises doivent prendre des mesures dès maintenant pour s’éviter des incidents majeurs.