{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternative au centre de certification de Microsoft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il ne faut pas faire confiance aux utilisateurs. Dans la plupart des cas, ils sont paresseux et pr\u00e9f\u00e8rent le confort \u00e0 la s\u00e9curit\u00e9. Selon les statistiques, 21 % d'entre eux notent leurs mots de passe pour leurs comptes professionnels sur du papier, et 50 % utilisent les m\u00eames mots de passe pour des services professionnels et personnels.<\/p>\n

L'environnement est \u00e9galement hostile. 74 % des organisations autorisent l'utilisation d'appareils personnels au travail et leur connexion au r\u00e9seau d'entreprise. 94 % des utilisateurs ne peuvent pas distinguer un vrai courriel d'un courriel de phishing, et 11 % ont cliqu\u00e9 sur des pi\u00e8ces jointes.<\/p>\n

Tous ces probl\u00e8mes sont r\u00e9solus par l'infrastructure de cl\u00e9 publique (PKI), qui assure le chiffrement et l'authentification des courriels, rempla\u00e7ant les mots de passe par des certificats num\u00e9riques. Cette infrastructure peut \u00eatre mise en place sur Windows Server. Selon la description de Microsoft,<\/a><\/noindex>le service Active Directory Certificate Services (AD CS) est un serveur qui permet de cr\u00e9er une PKI au sein de votre organisation et d'utiliser la cryptographie \u00e0 cl\u00e9 publique, les certificats num\u00e9riques et les signatures num\u00e9riques.<\/p>\n

Cependant, la solution de Microsoft est assez co\u00fbteuse.
\n<\/a><\/noindex><\/p>\n

Le co\u00fbt total de possession pour un centre de certification priv\u00e9 de Microsoft<\/h1>\n

\n\"Alternative
\nComparaison du co\u00fbt de possession de Microsoft CA et de GlobalSign AEG. Source<\/a><\/noindex><\/i><\/p>\n

Dans de nombreuses situations, il est plus pratique et moins co\u00fbteux de cr\u00e9er un centre de certification priv\u00e9 similaire, mais avec une gestion externe. C'est ce probl\u00e8me que r\u00e9sout le GlobalSign Auto Enrollment Gateway (AEG). Plusieurs lignes de d\u00e9penses (achat de mat\u00e9riel, co\u00fbts de support, formation du personnel, etc.) sont imm\u00e9diatement exclues du co\u00fbt total de possession. Les \u00e9conomies peuvent d\u00e9passer 50 % du co\u00fbt total de possession.<\/a><\/noindex>.<\/p>\n

Qu'est-ce que l'AEG ?<\/h1>\n

\n\"Alternative
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) est un service logiciel qui agit comme une passerelle entre les services de certificats SaaS de GlobalSign et l'environnement d'entreprise Windows.<\/p>\n

L'AEG s'int\u00e8gre \u00e0 Active Directory, permettant aux organisations d'automatiser l'enregistrement, la pr\u00e9paration et la gestion des certificats num\u00e9riques GlobalSign dans l'environnement Windows. En rempla\u00e7ant les certificats internes par des services de GlobalSign, les entreprises am\u00e9liorent la s\u00e9curit\u00e9 et r\u00e9duisent les co\u00fbts de gestion d'un complexe et co\u00fbteux centre de certification interne de Microsoft.<\/p>\n

Les services de certification GlobalSign SaaS sont une option plus fiable par rapport aux certificats faibles et non g\u00e9r\u00e9s sur l'infrastructure interne. \u00c9liminer la n\u00e9cessit\u00e9 de g\u00e9rer un CA interne exigeant en ressources r\u00e9duit le co\u00fbt total de possession de la PKI, ainsi que le risque de d\u00e9faillance du syst\u00e8me.<\/p>\n

La prise en charge des protocoles SCEP et ACME \u00e9tend les capacit\u00e9s de prise en charge au-del\u00e0 de Windows, y compris la d\u00e9livrance automatis\u00e9e de certificats pour des serveurs Linux, des appareils mobiles, r\u00e9seau et autres, ainsi que des ordinateurs Apple OSX enregistr\u00e9s dans Active Directory.<\/p>\n

S\u00e9curit\u00e9 accrue<\/h3>\n

\nEn plus des \u00e9conomies budg\u00e9taires, la gestion externe de la PKI am\u00e9liore la s\u00e9curit\u00e9 du syst\u00e8me. Comme le souligne une \u00e9tude du Aberdeen Group, les certificats deviennent de plus en plus une cible pour les attaquants : ils exploitent avec succ\u00e8s des vuln\u00e9rabilit\u00e9s connues, telles que des certificats auto-sign\u00e9s non fiables, un cryptage faible et des m\u00e9canismes de r\u00e9vocation lourds. De plus, les attaquants ont ma\u00eetris\u00e9 des exploits plus complexes, tels que l'\u00e9mission frauduleuse de certificats par des CA de confiance et la falsification de certificats pour la signature de code.<\/p>\n

\u00ab La plupart des entreprises g\u00e8rent de mani\u00e8re insuffisante les risques li\u00e9s \u00e0 ces attaques et ne sont pas pr\u00eates \u00e0 r\u00e9agir rapidement en cas de compromission, \u2014 a d\u00e9clar\u00e9<\/a><\/noindex> Derek E. Brink, vice-pr\u00e9sident et chercheur en s\u00e9curit\u00e9 informatique chez Aberdeen Group. \u2014 En permettant aux entreprises de transf\u00e9rer les aspects op\u00e9rationnels de la gestion des certificats \u00e0 des experts, tout en conservant un contr\u00f4le d'entreprise sur les politiques de groupe dans Active Directory, GlobalSign vise \u00e0 assurer la croissance future de l'utilisation des certificats en s'attaquant aux pr\u00e9occupations pratiques en mati\u00e8re de s\u00e9curit\u00e9 et de confiance dans un mod\u00e8le de d\u00e9ploiement efficace et \u00e9conomique. \u00bb<\/p>\n

Comment fonctionne l'AEG<\/h1>\n

\n\"Alternative
\n
\nUn syst\u00e8me typique avec l'AEG comprend quatre composants cl\u00e9s pour garantir la transmission des bons certificats aux bons points d'acc\u00e8s :<\/p>\n

    \n
  1. Le logiciel AEG sur un serveur Windows.\n<\/li>\n
  2. Serveurs Active Directory ou contr\u00f4leurs de domaine, qui permettent aux administrateurs de g\u00e9rer et de stocker des informations sur les ressources.\n<\/li>\n
  3. Points de terminaison : utilisateurs, appareils, serveurs et stations de travail \u2014 pratiquement tout objet qui est un \u00ab consommateur \u00bb de certificats num\u00e9riques.\n<\/li>\n
  4. Le centre de certification GlobalSign ou GCC, qui se trouve au sommet d'une plateforme fiable de d\u00e9livrance et de gestion de certificats. C'est ici que les certificats sont g\u00e9n\u00e9r\u00e9s.<\/li>\n<\/ol>\n

    \nTrois des quatre composants montr\u00e9s se trouvent dans l'environnement local du client, tandis que le quatri\u00e8me est dans le cloud.<\/p>\n

    Tout d'abord, les points de terminaison sont pr\u00e9configur\u00e9s \u00e0 l'aide de strat\u00e9gies de groupe : par exemple, pour la v\u00e9rification du certificat d'authentification de l'utilisateur, la demande S\/MIME pour le certificat, etc. \u2014 pour se connecter ult\u00e9rieurement au serveur AEG. La connexion se fait de mani\u00e8re s\u00e9curis\u00e9e via HTTPS.<\/p>\n

    Le serveur AEG envoie une requ\u00eate \u00e0 Active Directory via LDAP pour obtenir une liste de mod\u00e8les de certificats pour ces points de terminaison, et envoie cette liste aux clients accompagn\u00e9e de l'emplacement du centre de certification. Apr\u00e8s avoir re\u00e7u ces r\u00e8gles, les points de terminaison se reconnectent au serveur AEG, cette fois pour demander les certificats r\u00e9els. L'AEG, quant \u00e0 lui, cr\u00e9e un appel API avec les param\u00e8tres sp\u00e9cifi\u00e9s et l'envoie au Centre de certification GlobalSign ou GCC pour traitement.<\/p>\n

    Enfin, la partie serveur de GCC traite les requ\u00eates, g\u00e9n\u00e9ralement en quelques secondes, et envoie une r\u00e9ponse API avec le certificat qui sera install\u00e9 sur les points de terminaison sur demande.<\/p>\n

    L'ensemble du processus dure quelques secondes et peut \u00eatre enti\u00e8rement automatis\u00e9 en configurant les points de terminaison pour obtenir automatiquement des certificats \u00e0 l'aide de strat\u00e9gies de groupe.<\/p>\n

    Caract\u00e9ristiques uniques de l'AEG<\/h4>\n

    <\/p>\n