Bonnes pratiques de gestion des clés privées - Security Center 5.8

Guide de l’administrateur Security Center 5.8

series
Security Center 5.8
revised_modified
2019-08-28

L’efficacité du chiffrement des flux fusion dépend d'une infrastructure de clé publique externe pour gérer les clés privées. La sécurité tout entière du système dépend du fait que les clé privées restent secrètes. Dès lors, le transfert et la gestion des clés privées doivent être effectués de manière sûre.

Protéger les clés privées

Le moyen le plus sûr de gérer une paire clé publique-clé privée consiste à générer les certificats de chiffrement directement sur le poste client, puis à affecter ce certificat (seulement la partie clé publique) à l'Archiveur chargé d'effectuer le chiffrement. De cette manière, vous réduisez la surface d'attaque en assurant que la clé privée ne quitte jamais le poste sur lequel elle est utilisée.

Si vous souhaitez utiliser la même clé privée sur plusieurs postes client, veillez à la distribuer de manière sécurisée. Utilisez un mot de passe fort pour chiffrer la clé privée durant le transfert. Pour la marche à suivre, voir Importer ou exporter des certificats et des clés privées.

Une fois que toutes les copies de la clé privée sont installées sur les postes client, vous pouvez supprimer les fichiers utilisés pour distribuer la clé.

BONNE PRATIQUE : Si votre société utilise ADDS (Active Directory Domain Services), il est conseillé d'exploiter le mécanisme d'Informations d’identification itinérantes, qui associe les clés privées à des profils de groupes d'utilisateurs plutôt qu'à des postes particuliers.

Empêcher la divulgation des clés privées

Les utilisateurs peuvent potentiellement exporter les clés privées de leur ordinateur. Pour réduire ce risque, vous pouvez suivre les bonnes pratiques de défense en profondeur suivantes :
Rendre les clés privées non exportables
Pour empêcher les clients Windows d'extraire les clés privées, vous pouvez marquer les clés privées en tant que clés non exportables.

Le drapeau non exportable est défini à l'importation d'un certificat.

Procédez de la manière suivante :
  1. Créez un certificat et exportez les clés publique et privée au format PFX. Utilisez un mot de passe fort pour chiffrer la clé privée.
  2. N'importez la clé publique que sur les serveurs Archiveur.
  3. Importez la clé privée sur chaque poste individuel, et marquez la clé privée comme étant non exportable.
    certutil -importPFX [PFXfile] NoExport
  4. Lorsque la clé privée a été importée sur tous les postes, détruisez le fichier PFX d'origine.
IMPORTANT : Certaines applications tierces n'honorent pas le drapeau non exportable. Puisque ces applications tierces permettent d'exporter les clés privées, les marquer comme étant non exportables n'est pas une méthode infaillible.
Exécuter le compte de l'opérateur en mode non privilégié
Vous pouvez empêcher les utilisateurs Security Desk d'exporter les clés privées en installant les certificats dans le magasin de l'ordinateur local plutôt que dans celui des utilisateurs, et en leur refusant les privilèges d'administrateur. Toutefois, Security Desk doit pouvoir accéder aux clés privées. Cela signifie que vous devez exécuter Security Desk en tant qu'administrateur, et entrer le mot de passe pour les utilisateurs de Security Desk.
Restreindre l'utilisation des applications via une stratégie de groupe Windows
Vous pouvez empêcher les utilisateurs Security Desk d'accéder aux clés privées en bloquant les outils servant à manipuler les certificats, comme certmgr.msi, par l'intermédiaire d'une stratégie de groupe Windows.

Créer une clé privée de secours

Si vous perdez vos clés privées, vous ne pourrez pas récupérer vos données chiffrées. Il est recommandé d'utiliser un poste de secours sécurisé pour créer un certificat de chiffrement supplémentaire pour toutes les données que vous chiffrez. La clé privée associée à ce certificat ne doit pas être utilisée par un autre poste client. Le seul objectif de ce poste de secours est de vous fournir une solution de secours au cas où vous perdriez toutes les clés privées utilisées par les postes client.