Politique de sécurité de PKI Trust Auditor

Politique de sécurité, gestion des vulnérabilités et recommandations pour PKI Trust Auditor.

Vue d’ensemble#

Ce document décrit la politique de sécurité, les procédures de gestion des vulnérabilités et les considérations de sécurité de l’application PKI Trust Auditor. Cet outil d’audit traite des données sensibles de l’infrastructure PKI ; des pratiques de sécurité robustes sont donc essentielles.

Politique de divulgation responsable#

Signaler une vulnérabilité#

Nous prenons au sérieux la sécurité de PKI Trust Auditor. Si vous pensez avoir découvert une vulnérabilité, veuillez nous la signaler en suivant ces consignes :

Coordonnées :

Informations requises :

  • Description détaillée de la vulnérabilité
  • Étapes permettant de reproduire le problème
  • Versions de PKI Trust Auditor concernées
  • Évaluation de l’impact potentiel
  • Code de preuve de concept ou captures d’écran, le cas échéant

Délais de réponse :

  • Accusé de réception : dans les 48 heures suivant la réception du signalement
  • Évaluation initiale : dans les 5 jours ouvrés
  • Plan de correction : dans les 10 jours ouvrés pour les problèmes critiques
  • Divulgation publique : coordonnée avec le déclarant après la disponibilité d’un correctif

Considérations de sécurité pour PKI Trust Auditor#

Sécurité des données#

Gestion des identifiants

  • PKI Trust Auditor utilise les identifiants de l’utilisateur actuel pour toutes les opérations.
  • L’application ne stocke ni ne met en cache les identifiants.
  • L’authentification repose sur l’authentification intégrée de Windows.
  • Utilisez des comptes de service dédiés disposant du minimum de privilèges requis.

Stockage des éléments probants

  • Les résultats d’audit sont enregistrés localement dans le répertoire Audit-Results/.
  • Les fichiers de preuves contiennent des données d’évaluation de sécurité et doivent être protégés.
  • Les certificats et CRL téléchargés sont stockés à des fins d’analyse.
  • L’application ne transmet aucune donnée sensible à des systèmes externes.

Gestion des certificats

  • Les certificats CA sont récupérés depuis Active Directory pour analyse.
  • Les certificats AIA sont téléchargés depuis les URL configurées pour validation.
  • Les fichiers CRL sont téléchargés pour tester leur accessibilité.
  • Tous les éléments cryptographiques téléchargés doivent être traités comme sensibles.

Sécurité réseau#

Protocoles de communication

  • WMI : utilise DCOM/RPC sur le port 135 (configurez correctement le pare-feu).
  • PowerShell Remoting : utilise WinRM sur les ports 5985/5986.
  • LDAP : requêtes Active Directory sur le port 389/636.
  • HTTP/HTTPS : test d’accessibilité des URL des points de terminaison AIA et CDP.

Recommandations de sécurité

  • Segmentez le réseau des serveurs CA.
  • Utilisez des canaux chiffrés lorsque disponibles (LDAPS, WinRM HTTPS).
  • Configurez les règles de pare-feu nécessaires aux ports requis.
  • Surveillez le trafic réseau pour détecter toute activité suspecte.

Sécurité de l’application#

Validation des entrées

  • Tous les paramètres de configuration CA sont validés avant exécution.
  • Les données de certificats sont analysées avec une gestion appropriée des erreurs.
  • Les configurations de modèles sont analysées avec des contrôles de sécurité.
  • Les requêtes au registre sont correctement assainies et validées.

Gestion des erreurs

  • Les erreurs sont consignées sans exposer d’informations sensibles.
  • Les traces de pile sont capturées pour le débogage, mais ne sont pas exposées aux utilisateurs.
  • Les opérations échouées sont gérées proprement avec des codes d’état appropriés.
  • Les fichiers de preuves contiennent des informations d’exécution détaillées pour le dépannage.

Sécurité des dépendances

  • Analyse régulière de sécurité des dépendances tierces.
  • Application rapide des correctifs de sécurité du framework .NET.
  • Surveillance des avis de sécurité pour System.DirectoryServices et System.Management.
  • Pratiques de codage sécurisé pour tous les scripts PowerShell personnalisés.

Processus de gestion des vulnérabilités#

Évaluation des vulnérabilités#

Classification de gravité

  • Critique : exécution de code à distance, élévation de privilèges, exposition de données.
  • Élevée : divulgation d’informations, déni de service, contournement de l’authentification.
  • Moyenne : problèmes de configuration de sécurité, contrôles d’accès incorrects.
  • Faible : divulgations informatives, observations mineures de sécurité.

Critères d’évaluation

  • Impact sur la sécurité de l’infrastructure PKI
  • Risque d’exposition des identifiants ou certificats
  • Risque pour l’intégrité des audits et la collecte de preuves
  • Implications de conformité des évaluations de sécurité

Procédures de correction#

Développement des correctifs

  • Les correctifs de sécurité sont développés dans des branches isolées.
  • Tests complets sur plusieurs environnements PKI.
  • Évaluation de la compatibilité avec les résultats d’audit existants.
  • Revue de sécurité avant publication.

Processus de publication

  • Les mises à jour de sécurité sont publiées sous forme de versions correctives (par exemple 1.0.1).
  • Les notes de version comprennent des informations détaillées sur les vulnérabilités.
  • Les utilisateurs sont avertis par plusieurs canaux.
  • Les mises à jour critiques peuvent suivre une procédure de publication accélérée.

Politique de divulgation#

Divulgation coordonnée

  • Les vulnérabilités sont divulguées après la disponibilité des correctifs.
  • Les chercheurs en sécurité qui suivent la divulgation responsable sont crédités.
  • La divulgation publique contient suffisamment d’informations pour évaluer le risque.
  • Aucune vulnérabilité zero-day n’est divulguée sans mesure d’atténuation disponible.

Canaux de communication

  • GitHub Security Advisories pour les détails techniques
  • Notifications par e-mail aux utilisateurs inscrits
  • Annonces sur le site Web pour les mises à jour critiques
  • Réseaux sociaux pour une communication étendue

Bonnes pratiques de sécurité pour les utilisateurs#

Sécurité du déploiement#

Consignes d’installation

  • Déployez PKI Trust Auditor sur des serveurs d’audit dédiés.
  • Utilisez des comptes de service dédiés avec le minimum de privilèges requis.
  • Appliquez des contrôles d’accès appropriés aux répertoires de résultats d’audit.
  • Mettez régulièrement à jour vers la dernière version sécurisée.

Sécurité de configuration

  • Protégez les fichiers de configuration parameters.json.
  • Utilisez des comptes de service propres au domaine pour accéder aux CA.
  • Mettez en place une journalisation et une surveillance appropriées.
  • Effectuez régulièrement des revues de sécurité des configurations d’audit.

Contrôle d’accès#

Principe du moindre privilège

  • Accordez uniquement les autorisations nécessaires à l’administration des CA.
  • Limitez l’accès réseau aux ports et protocoles requis.
  • Appliquez une séparation appropriée des tâches.
  • Révisez régulièrement les accès des comptes d’audit.

Surveillance et audit

  • Surveillez les journaux d’exécution des audits pour repérer toute activité suspecte.
  • Appliquez une conservation et une analyse appropriées des journaux.
  • Révisez régulièrement les fichiers de preuves d’audit.
  • Mettez en place des procédures de réponse aux incidents de sécurité.

Sécurité opérationnelle#

Utilisation sécurisée

  • Dans la mesure du possible, exécutez les audits pendant les fenêtres de maintenance.
  • Stockez de manière sécurisée les résultats d’audit et les preuves.
  • Éliminez correctement les fichiers temporaires et les données mises en cache.