De nombreuses entreprises ne sont pas préparées à l'automatisation de la PKI qui permettrait pourtant de répondre à la demande de Google et d'autres navigateurs de réduire la durée de vie des certificats SSL/TLS.

Des changements importants pourraient intervenir dans le courant de l'année et jusqu'en 2024 sur le marché des infrastructures à clé publique (PKI).

Historiquement, la durée de validité des certificats numériques SSL pouvait atteindre des années ; après quoi il était nécessaire de renouveler ou de remplacer ces certificats. Depuis l’annonce par Apple de la réduction de la durée de validité des certificats de 27 à 13 mois sur Safari, d’autres acteurs ont retenu la même politique.

Mais en mars dernier, Google a annoncé qu’il comptait réduire la durée de validité des certificats sur Chrome à 90 jours. Étant donné que Chrome est l’un des navigateurs les plus populaires, d’autres devraient appliquer la même règle…

Or, l’étude menée auprès de 100 entreprises par l'autorité de certification GMO GlobalSign constate que les infrastructures informatiques ne sont pas adaptées à ces évolutions et risquent d'être confrontées à des défaillances et la cybersécurité ne sera pas garantie.  

Coûts et frais généraux

Les principaux résultats de cette étude mondiale sont les suivants :
  • Près d'un tiers des personnes interrogées ont déclaré que l'augmentation du travail administratif et de la complexité était la principale préoccupation (30 %). Les inquiétudes concernent plus particulièrement les mises à jour plus fréquentes des certificats racine, telles que les mises à jour de Mozilla prévues pour 2024.

  • 20 % des participants à l'enquête estiment qu'une rotation de sept ans pour les certificats racine est gérable et n'aurait pas d'impact significatif.

  • 15 % ont exprimé des préoccupations concernant les coûts et les frais généraux, en particulier pour les petites entreprises et les sites web, pour lesquels les coûts supplémentaires pourraient ne pas être justifiés par les propriétaires.

  • 30 % ont fait part de leurs préoccupations concernant les systèmes anciens ou hérités, les expirations fréquentes ainsi que les problèmes de sécurité et de conformité.
Cette étude porte également sur l'automatisation et met en avant différents obstacles :
  • 38 % estiment que les limitations techniques et la compatibilité sont les principaux obstacles à l'automatisation. Il s'agit notamment de l'absence de solutions prêtes à l'emploi pour automatiser la gestion des certificats, du manque de prise en charge du renouvellement automatisé dans certains systèmes ou environnements (tels que Windows, IIS, Plesk) et de l'incompatibilité de certains systèmes avec les solutions automatisées standard.

  • Un quart des répondants indiquent que les contraintes de coûts et de ressources sont des obstacles potentiels. Il s'agit notamment des coûts associés au développement d'un système d'automatisation personnalisé et des ressources nécessaires à la gestion et à la maintenance des solutions de gestion automatisée des certificats.

  • Enfin, 20 % déclarent que le manque de connaissances ou d'expertise est un autre obstacle potentiel à l'automatisation des certificats. Il s'agit notamment de ne pas savoir si les systèmes prennent en charge l'injection de nouveaux certificats et le redémarrage des services, ou de ne pas être familiarisé avec l'automatisation en général.

ARTICLES SIMILAIRESPLUS DE L'AUTEUR