Dans le contexte des pratiques DevSecOps et d’ingénierie, le terme secrets désigne en général des identifiants numériques comme les noms d’utilisateur, les mots de passe, les phrases secrètes, les jetons d’authentification, les clés SSH, les certificats SSL/TLS et les clés d’application et API.
Dans une entreprise, ce cycle de vie commence par la création de secrets comme des mots de passe, des clés API et des certificats, automatiquement ou par un utilisateur. On stocke ensuite ces secrets en toute sécurité dans un environnement protégé, comme un système de gestion des secrets ou un coffre chiffré. Tout au long du cycle de vie, l’accès et l’utilisation des secrets sont vérifiés pour détecter une activité suspecte et y réagir. Lorsqu’un secret devient inutile, on le supprime pour éviter une extraction non autorisée et des privilèges permanents.
La gestion des secrets désigne le stockage sécurisé, la gestion et l’accès restreint à des identifiants sensibles, réunis sous le nom de secrets. Les secrets servent à authentifier des processus d’entreprise, des workflows, des services et des applications.
En général, une entreprise gère un large éventail de secrets, selon ses processus internes et ses orientations. Toutefois, voici des exemples de types de secrets intervenant dans une stratégie informatique d’entreprise courante.
Une organisation grandissant et évoluant, la gestion des secrets devient un besoin absolu pour ses équipes IT, DevOps et ingénierie. Cela découle de la croissance de leur base de code et leurs processus, entraînant une prolifération de secrets entre divers applications, microservices, outils de développement et RPA, conteneurs, workflows d’orchestration et API.
Les identifiants sont souvent stockés en format clair dans des fichiers ou des scripts et partagés entre divers acteurs des pipelines CI/CD, des processus d’automatisation et des workflows d’ingénierie. La modification de ces identifiants sans planification ou notification adéquate risque d’entraîner l’échec en cascade de plusieurs processus vitaux.
De plus, si ces identifiants sont exposés par mégarde, un acteur malveillant peut les exploiter pour violer des systèmes d’information clés de l’organisation. Il s’avère donc crucial de déployer des procédures sures et bien définies pour gérer et protéger ces identifiants afin de prévenir le risque d’accès non autorisé ou d’abus.
Toutefois, une bonne solution de gestion des secrets permet aux équipes d’entreprise d’éviter d’intégrer des identifiants en clair en les stockant dans un coffre numérique chiffré. On peut ainsi extraire, faire tourner, suivre et gérer en toute sécurité les secrets dans une console centrale.
La gestion des secrets présente des risques et des problèmes courants :
si on ne gère pas correctement les secrets, des pirates peuvent facilement en voler. Cela entraîne des violations de données, pouvant nuire à la réputation d’une organisation et engendrer de lourds coûts de réparation.
sans cadre de gestion adéquat, il est pratiquement impossible de suivre l’utilisation des secrets servant à authentifier des processus et des workflows. Cela rend alors difficile pour les équipes de sécurité de prévenir les risques d’abus d’identifiants.
si on modifie des identifiants codés en dur sans organisation et approbation antérieure, on risque l’échec conjoint de plusieurs workflows, services et processus.
nombre de secteurs font l’objet de réglementations obligeant à protéger les données sensibles. Si des secrets sont mal gérés, l’organisation peut se retrouver en violation de ces réglementations, entraînant des amendes ou d’autres sanctions.
La multiplication et la complexité croissante des processus et workflows d’entreprise demandent de solides stratégies de gestion des secrets, couvrant l’analyse régulière, la rotation et le suivi en temps réel des secrets distribués à travers l’organisation.
Comme déjà indiqué, la gestion manuelle reste souvent isolée, le codage en dur des secrets s’avérant à la fois lourd et néfaste à la sécurité. La plupart des outils du marché sont conçus pour gérer les secrets de certaines applications ou plateformes (Kubernetes, Docker, Jenkins, etc.), ou leurs sous-processus. Les outils de gestion des mots de passe d’application connaissent un certain succès, mais la plupart n’offrent qu’un coffre de base pour stocker et extraire des secrets.
La conformité devenant une exigence inévitable dans bien des secteurs, il ne suffit pas de stocker les secrets dans un coffre. Il s’avère tout aussi impératif de les faire tourner régulièrement, d’analyser leur utilisation et de vérifier l’activité des utilisateurs et des processus authentifiés par ces secrets pour une conformité efficace et généralisée avec les normes sectorielles.
La gestion des secrets fait partie intégrante des outils modernes degestion de l’accès privilégié (PAM) qui ne se résument pas aux fonctions de stockage des secrets, mais offrent des contrôles de gouvernance fins pour réguler qui y a accès. Les outils PAM offrent aussi des contrôles de gestion des mots de passe multi-applications (AAPM) pour authentifier les applications, les terminaux, les comptes non humains, les processus et les services distribués à travers l’entreprise.
Les outils de gestion des secrets servent à stocker, régir et partager des secrets en toute sécurité entre les utilisateurs. Il importe d’adopter de tels outils, car ils réduisent le risque de violation de données, les privilèges permanents indésirables et aident à éradiquer la proliférations de privilèges. En général, les outils de gestion des secrets intègrent un coffre facilitant le stockage de secrets en format chiffré et un mécanisme de partage sécurisé avec des utilisateurs privilégiés sans révéler les identifiants.
PAM360, solution PAM d’entreprisede ManageEngine, offre une intégration native à des plateformes de conteneurs, des solutions CI/CD DevSecOps et des outils RPA pour une gestion sécurisée des identifiants d’application. L’intégration permet aux processus et aux applications d’extraire automatiquement des identifiants du coffre PAM360. Elle permet aussi de réaliser des actions sensibles comme l’affectation d’accès, la modification régulière des mots de passe, le contrôle précis et l’audit, le tout sans perturber les workflows internes.