La gestion des identités machines (MIM) consiste à émettre, à faire tourner et à révoquer les identifiants que les machines (par exemple, serveurs, points de terminaison, dispositifs réseau, machines virtuelles et appareils IdO) utilisent pour leur authentification et une communication sécurisée.
Comme les humains, les machines doivent présenter des identifiants pour accéder aux systèmes et aux données. Mais là où les humains emploient des noms d’utilisateur, des mots de passe et une authentification à étapes (MFA), les machines s’appuient sur des identifiants tels que les clés et les certificats.
Ces identifiants permettent aux machines de prouver leur identité. Les formes courantes incluent les certificats TLS pour les connexions réseau sécurisées, les clés SSH pour l’accès à distance et les certificats d’appareil émis par l’infrastructure à clé publique (PKI) pour l’authentification des appareils.
À mesure que la communication entre machines se développe, sécuriser l’identité des machines contre les cybermenaces est devenue un défi majeur. Selon l’IBM X-Force Threat Intelligence Index, les attaques exploitant l’identité, lors desquelles les cybercriminels utilisent abusivement des identifiants valides pour accéder aux réseaux, représentent 30 % des violations de données.
Les infrastructures modernes peuvent également compliquer la gestion des identités machines. Les environnements informatiques évoluent rapidement, les appareils sont fréquemment mis à disposition et mis hors service, et il est nécessaire de renouveler constamment les identifiants.
La MIM contribue à mettre de l’ordre dans cette complexité et à améliorer la cybersécurité. Elle permet aux équipes de sécurité de découvrir où se trouvent les identifiants des appareils, d’automatiser la rotation et la révocation, d’appliquer les politiques de sécurité et de surveiller l’expiration ou l’utilisation abusive des identifiants.
Avec la MIM, les entreprises peuvent soutenir une architecture sécurité Zero Trust et réduire les accès non autorisés, les violations de données et les pannes liées aux certificats expirés. Elles peuvent également limiter l’exposition des clés fuitées et recueillir les traces d’audit nécessaires à leur conformité réglementaire.
En sécurité des identités, les identités non humaines (NHI) sont des identités numériques attribuées aux « utilisateurs » non humains tels que les applications, les services, les workloads, les conteneurs, les API, les bots, les agents IA et les appareils.
Une identité machine est un sous-ensemble de NHI spécifiquement associées à un appareil tel qu’un serveur, une machine virtuelle, un point de terminaison, un périphérique réseau ou un appareil IdO.
Le terme « identité machine » est parfois utilisé pour désigner tout type de NHI, bien que cette utilisation soit techniquement incorrecte. La gestion des identités machines se concentre spécifiquement sur la gestion des identités machines et de leurs identifiants.
Cela dit, les machines interagissent fréquemment avec des logiciels et des services qui s’authentifient en utilisant des comptes de service et des identifiants comme les clés d’API. Les programmes MIM sont souvent mis en œuvre parallèlement aux initiatives de gestion des identités et de gouvernance des entités non humaines.
L'essor des agents IA brouille également la frontière entre les identités non humaines et celles des machines. Les agents IA exécutent souvent le travail par le biais de workloads et d’identités de service, et peuvent même déléguer des tâches à travers les systèmes. Cela signifie qu’ils opèrent fréquemment à l’intersection d’identités non humaines et d’identités machines.
Rejoignez les responsables de la sécurité qui font confiance à la Newsletter Think pour obtenir des informations ciblées autour de l’IA, de la cybersécurité, des données et de l’automatisation. Apprenez rapidement grâce à des tutoriels et des fiches explicatives d’experts, envoyés directement dans votre boîte de réception. Consultez la Déclaration de confidentialité d’IBM.
Les estimations varient, de 45:1 à 92:1, mais dans la plupart des environnements informatiques, les identités non humaines sont largement plus nombreuses que les identités humaines.
Et les environnements informatiques continuent d’évoluer, portés par l’adoption de l’infrastructure cloud et des logiciels à la demande (SaaS), l’essor des systèmes distribués et des microservices, ainsi que par la croissance des appareils connectés. Chaque fois, le nombre de machines augmente, de même que la variété des identifiants.
En plus d’être nombreux, les identifiants des machines attirent les cybercriminels. Contrairement aux utilisateurs humains, les machines fonctionnent souvent en continu, s’authentifient automatiquement et ne peuvent pas s’appuyer sur des contrôles interactifs comme les invites MFA. Elles sont également souvent implicitement considérées comme fiables dans les réseaux et les workflows, ce qui peut accroître l’impact en cas de compromission.
Voici quelques-uns des risques les plus courants liés aux identités machines :
Le grand nombre d’identités machines présentes dans un système et la rapidité avec laquelle les nouveaux appareils et les nouvelles instances sont provisionnés peuvent entraver la visibilité et créer des failles que les cybercriminels peuvent exploiter.
De nombreuses entreprises omettent également de désactiver formellement les identités machines lors de la mise hors service des serveurs, du retrait des images de machines virtuelles ou de la suppression des appareils du service. Ces anciennes identités sont rarement surveillées, et leurs autorisations sont intactes.
Parce qu’elles font partie intégrante des workflows essentiels, les identités machines bénéficient souvent d’un accès privilégié aux données sensibles. Afin de s’assurer que ces processus « fonctionnent », les entreprises accordent souvent aux identités d’appareils des autorisations excessives.
Les machines n’ont pas de mots de passe, mais elles utilisent des tokens OAuth, des certificats et d’autres secrets pour s’autoriser et s’authentifier. Ces secrets peuvent être volés et utilisés abusivement de la même manière que les mots de passe des utilisateurs humains, permettant un accès non autorisé, un mouvement latéral et une élévation des privilèges.
Les appareils et les systèmes de gestion des appareils se connectent souvent à des plateformes tierces (par exemple, fournisseurs de gestion de flotte IdO ou de surveillance des appareils). Si les identifiants de ces plateformes tierces sont compromis, les attaquants peuvent se déplacer latéralement entre les environnements.
Lorsque les serveurs sont mis hors service, que les images de machines virtuelles sont supprimées ou que les appareils sont retirés du service, les anciens identifiants peuvent être conservés. Sans une révocation et une mise hors service systématiques, ces identifiants d’appareils orphelins peuvent présenter un risque pour la sécurité.
Les entreprises gèrent généralement plusieurs types d’identifiants d’identité machine, chacun avec des caractéristiques et des exigences de sécurité distinctes.
La gestion des identités machines automatise et opérationnalise leur cycle de vie en gérant les identifiants de l’émission au déprovisionnement.
Les principales étapes du cycle de gestion des identités machines sont les suivantes :
La découverte implique l’analyse des réseaux, des environnements cloud, des magasins de certificats et des configurations d’application afin d’identifier tous les identifiants d’appareils en cours d’utilisation, y compris les identifiants en dehors des systèmes informatiques officiels.
Les équipes de sécurité peuvent trouver des identifiants dont elles ignoraient l’existence, comme des clés SSH sur des serveurs oubliés ou des certificats de périphériques intégrés dans des systèmes hérités.
Lorsqu’une nouvelle identité machine est établie ou identifiée, la MIM implique de délivrer à cette identité de nouveaux identifiants. Un programme MIM formel permet aux entreprises de créer des identifiants par le biais de processus contrôlés et vérifiables, à la place des manipulations manuelles ad hoc.
Lors du provisionnement, c’est-à-dire de l’attribution des identifiants aux machines, les entreprises suivent souvent le principe du moindre privilège, en n’accordant à chaque machine que le niveau d’accès dont elle a besoin pour remplir ses fonctions.
Par exemple, une machine virtuelle créée dans le cloud peut se voir attribuer une identité spécifique au sein d’un système IAM. La MIM peut alors contribuer à garantir que la machine virtuelle reçoit automatiquement les identifiants éphémères dont elle a besoin. Ces identifiants lui permettent d’accéder uniquement aux ressources cloud qu’elle est censée utiliser, comme un compartiment de stockage unique ou un coffre-fort, sans stocker les clés d’accès à long terme sur la machine.
La rotation consiste à remplacer les identifiants de manière périodique ou après une exposition suspecte. Il s’agit d’émettre de nouveaux certificats ou de nouvelles clés, et de retirer les anciens.
De par leur conception, les identifiants ont une durée de vie limitée. Par exemple, les certificats TLS expirent généralement dans un délai de 90 jours à un an. Cette durée de vie limitée répond à deux objectifs.
Premièrement, elle réduit les opportunités qui s’offrent aux pirates. Si des identifiants sont volés, ils deviennent inutiles après rotation.
Deuxièmement, une rotation régulière permet d’éviter les pannes causées par l’expiration des certificats, qui peuvent prendre les équipes informatiques par surprise.
L’automatisation permet de gérer la rotation et le renouvellement à l’échelle, en éliminant le besoin d’un suivi manuel. Au lieu d’utiliser des feuilles de calcul et des rappels de calendrier, les plateformes de gestion des identités machines surveillent les dates d’expiration grâce à un inventaire des identifiants, et déclenchent automatiquement le renouvellement des certificats et la rotation des clés.
Lorsque cela est nécessaire, par exemple lorsqu’un certificat est compromis ou qu’un appareil est mis hors service, la MIM peut révoquer immédiatement les certificats. La révocation consiste généralement à ajouter le certificat à une liste de révocation ou à utiliser des serveurs OCSP (Online Certificate Status Protocol), qui répondent en temps réel aux requêtes sur la validité des certificats.
Le déprovisionnement implique également la suppression régulière des identifiants lorsque les appareils et les composants de l’infrastructure sont mis hors service. Pour les ressources éphémères qui existent pendant quelques secondes ou minutes, la MIM permet de garantir que le déprovisionnement s’effectue automatiquement dès leur destruction.
Plusieurs technologies et pratiques constituent la base de la MIM. Parmi les plus importantes, on peut citer :
Une infrastructure à clé publique est un cadre complet permettant d’attribuer, d’identifier et de vérifier l’identité des utilisateurs au moyen de certificats numériques. Il s’agit du principal cadre utilisé par les entreprises pour émettre, gérer et révoquer les certificats numériques.
Une autorité de certification (CA) émet les certificats après avoir validé l’identité de l’entité requérante telle qu’un serveur, un appareil ou une entreprise. Les certificats contiennent des informations précieuses, telles que la clé publique de l’entité requérante et la signature numérique de l’autorité de certification, qui permettent de prouver l’identité de l’entité.
Par exemple, lorsqu’un serveur Web a besoin d’un certificat TLS, il envoie une requête (souvent sous la forme d’une demande de signature de certificat, ou CSR) à une CA. La CA valide la demande et délivre le certificat. Le serveur peut ensuite utiliser le certificat pour établir des connexions HTTPS.
Dans certains déploiements PKI, une autorité d’enregistrement (RA) peut également approuver les demandes de certificat avant que la CA n’émette le certificat. Les RA peuvent renforcer la sécurité en ajoutant une étape d’approbation et en appliquant la séparation des tâches.
Les outils CLM automatisent la découverte, le suivi, le renouvellement et la révocation des certificats. Ils offrent une visibilité centralisée sur les environnements hybrides, qu’il s’agisse de systèmes cloud ou sur site. Les outils CLM alertent les administrateurs sur les échéances à venir et déclenchent des workflows automatisés pour assurer le renouvellement, la rotation et la révocation des identifiants.
Par exemple, un outil CLM peut découvrir 500 certificats dans les environnements cloud et sur site d’une entreprise, en signaler 30 qui expirent dans les 30 jours et les renouveler automatiquement, évitant ainsi les pannes sans intervention manuelle.
Les solutions de gestion des secrets sécurisent le stockage et la rotation des identifiants utilisés par les workflows d’automatisation de l’infrastructure et de gestion des appareils (par exemple, les clés SSH et autres secrets privilégiés). Les outils de gestion des secrets permettent aux équipes de conserver les secrets des appareils dans un coffre-fort protégé, à la place d’un dépôt de code ou d’un autre endroit non sécurisé.
Les outils de gestion des secrets peuvent souvent s’intégrer aux workflows DevOps pour aider à provisionner les identifiants à la demande, à appliquer les politiques d’accès et à gérer les journaux d’audit.
Les outils de gestion des accès privilégiés (PAM) permettent de gérer les identifiants hautement privilégiés. Ils proposent souvent des fonctionnalités telles que la surveillance des sessions et le provisionnement juste-à-temps, qui n’accorde l’accès qu’en cas de besoin et le révoque automatiquement par la suite.
Par exemple, au lieu de donner à un ingénieur un accès root permanent aux serveurs de production, la PAM peut fournir des identifiants SSH temporaires, qui expirent après une opération de maintenance, réduisant ainsi les privilèges permanents.
Les HSM sont des dispositifs matériels inviolables, destinés à stocker des clés privées. Ils protègent le matériel cryptographique contre l’extraction, même si des attaquants accèdent au serveur. Les HSM sont particulièrement utiles aux services financiers et à la conformité réglementaire.
Par exemple, une banque peut stocker les clés privées de ses certificats de traitement des paiements dans un HSM, ce qui permet de garantir que les clés ne peuvent être extraites même si des cybercriminels parviennent à pénétrer dans le serveur d’applications.
La MIM et la gestion des identités et des accès (IAM) font toutes deux partie de la sécurité des identités, qui se concentre sur la protection des identités numériques et des systèmes qui les gèrent.
La principale différence réside dans ce qu’ils protègent. L’IAM se concentre principalement sur les utilisateurs humains, tandis que la MIM se concentre sur les machines.
Les systèmes IAM utilisent souvent des flux interactifs (saisie de mots de passe, invites MFA, biométrie) qui supposent la présence d’une personne, tandis que la MIM doit utiliser un échange automatisé d’identifiants, sans intervention humaine.
Les programmes modernes de sécurité des identités requièrent généralement tant l’IAM que la MIM, et la plupart des cadres de gouvernance et d’administration des identités (IGA) traitent les identités machines au même titre que celles des humains. Les machines ont des besoins de gouvernance similaires à ceux des utilisateurs humains. Dans les deux cas, les entreprises doivent suivre ce qui existe, ce qui lui est accessible et savoir si cet accès reste approprié au fil du temps.
La MIM aide les entreprises à renforcer la sécurité, à maintenir la disponibilité et à simplifier la conformité.
La MIM offre une vue unifiée des identifiants des appareils dans l’ensemble de l’écosystème d’entreprise.
Cette capacité permettre aux équipes de sécurité d’identifier plus facilement les vulnérabilités (identifiants orphelins, autorisations excessives, certificats proches de l’expiration) et de les corriger avant que les pirates ne puissent les attaquer.
L’application automatisée des politiques aide également les équipes informatiques à appliquer les normes de sécurité de manière cohérente, réduisant les erreurs de configuration exploitables.
Les certificats expirés sont une cause fréquente de temps d’arrêt imprévus. Sans certificat valide, la machine ne peut ni s’authentifier ni établir une connexion chiffrée, ce qui peut entraîner la mise hors ligne ou la défaillance des services. La gestion automatisée des certificats aide à prévenir ces perturbations en renouvelant les identifiants avant leur expiration.
La MIM aide les entreprises à se conformer aux réglementations telles que le Règlement général sur la protection des données (RGPD), la norme de sécurité des données de l'industrie des cartes de paiement (PCI-DSS), la loi HIPAA (Health Insurance Portability and Accountability Act) et la loi Sarbanes-Oxley (SOX). La MIM documente la propriété des identifiants, l’historique de rotation et l’accès aux systèmes sensibles, facilitant ainsi la création de pistes d’audit et la rationalisation des examens de conformité.
La MIM facilite la mise à l’échelle de l’infrastructure informatique, permettant une croissance rapide des workloads cloud, des conteneurs et des appareils connectés, sans augmentation proportionnelle de la gestion. Pour ce faire, elle automatise l’émission, la rotation et la révocation des identifiants, ce qui permet aux équipes informatiques de sécuriser plus facilement les identités à mesure que les environnements se développent.
La fluidité de mise à l’échelle gagne en importance à mesure que les entreprises élargissent leurs écosystèmes de microservices, d’appareils IdO et d’agents IA, chacun ajoutant de nouvelles identités machines et des identifiants à gérer tout au long de leur cycle de vie.
La sécurité Zero Trust exige une validation continue de chaque connexion, humaine ou machine. La MIM rend pratique cette validation continue en découvrant et en cataloguant les identités machines, une première étape nécessaire car l’entreprise ne peut pas valider des identifiants qu’elle n’a pas pu identifier. Elle peut également prendre en charge le principe du moindre privilège en automatisant les contrôles d’accès et en les appliquant de manière cohérente à l’ensemble des environnements.
Malgré les nombreux avantages de la MIM, les entreprises peuvent rencontrer des difficultés lors de sa mise en œuvre et de son exploitation.
Les identifiants des machines sont rarement gérés par un seul système ou une seule solution de sécurité. Les équipes de sécurité peuvent utiliser un outil pour les certificats PKI, et un autre pour la gestion des secrets, tandis que les équipes d’exploitation gèrent entièrement leurs propres identifiants. Cette fragmentation des outils peut créer d’importantes lacunes de visibilité et des incohérences en matière de politique.
Les utilisateurs humains ont généralement des responsables qui approuvent périodiquement les demandes d’accès et examinent les autorisations. Les identités machines peuvent ne pas bénéficier de la même supervision. Par exemple, lorsque l’ingénieur qui a fourni les identifiants change de rôle ou quitte l’entreprise, la responsabilité peut disparaître avec lui. En l’absence d’une propriété explicite, les certificats peuvent ne pas être réexaminés pendant des années.
La MIM s’appuie sur l’automatisation. Mais la rotation entièrement automatique peut endommager les applications et les systèmes qui attendent des identifiants statiques, comme les clés intégrées aux configurations, provoquant des pannes lorsqu’un système ne parvient soudainement pas à s’authentifier. Les entreprises doivent pouvoir concilier automatisation suffisante pour atteindre leurs priorités et supervision suffisante pour détecter les erreurs avant qu’elles n’affectent la production.