Politique de sécurité de PKI Trust Manager

Vue d’ensemble

Ce document décrit la politique de sécurité de PKI Trust Manager de Securetron. En tant qu’outil de gestion des environnements d’infrastructure à clé publique (PKI), nous accordons une priorité élevée à la sécurité tout au long du développement et de la distribution du logiciel. Cette politique explique comment nous traitons les vulnérabilités, protégeons les données des utilisateurs et préservons l’intégrité des opérations PKI.

Signaler les vulnérabilités de sécurité

Notre engagement en matière de sécurité

Nous prenons très au sérieux la sécurité de PKI Trust Manager. Si vous pensez avoir découvert une vulnérabilité dans notre logiciel, nous vous encourageons à nous la signaler rapidement et de manière responsable.

Comment signaler une vulnérabilité

Contact principal : [email protected]
Contact alternatif : [email protected]

Veuillez inclure dans votre signalement :

• Une description claire de la vulnérabilité
• Les étapes pour reproduire le problème
• La version de PKI Trust Manager utilisée
• Votre évaluation de l’impact potentiel
• Tout code de preuve de concept ou capture d’écran disponible

À quoi vous attendre

1. Accusé de réception : nous confirmerons la réception sous 48 heures.
2. Enquête : notre équipe de sécurité examinera et validera le problème signalé.
3. Suivi : nous vous tiendrons régulièrement informé de l’avancement.
4. Résolution : une fois le problème résolu, nous coordonnerons la divulgation avec vous.
5. Remerciements : nous remercions les chercheurs qui suivent les pratiques de divulgation responsable.

Fonctionnalités de sécurité de PKI Trust Manager

Protection des données

• Pas de stockage persistant des identifiants : PKI Trust Manager ne stocke pas les identifiants de manière persistante.
• Traitement local : toutes les opérations sur les certificats ont lieu dans votre infrastructure locale.
• Communications chiffrées : les opérations distantes utilisent des protocoles sécurisés.
• Collecte minimale de données : seules les données opérationnelles nécessaires sont recueillies.

Contrôle d’accès

• Autorisations basées sur les rôles : intégration possible avec vos systèmes RBAC existants.
• Principe du moindre privilège : les opérations ne requièrent que les autorisations nécessaires.
• Piste d’audit : les actions de gestion sont enregistrées pour les contrôles de sécurité.
• Gestion des sessions : traitement sécurisé des sessions avec délais d’expiration configurables.

Sécurité du cycle de vie des certificats

• Gestion sécurisée des clés : applique des pratiques cryptographiques conformes aux normes du secteur.
• Validation des modèles : gestion des modèles avec contrôles de sécurité.
• Vérifications de conformité : contrôles intégrés pour les exigences réglementaires.
• Gestion des révocations : gestion sécurisée de CRL et OCSP.

Gestion des vulnérabilités

Notre processus

1. Évaluation : nous évaluons la gravité et l’impact des vulnérabilités signalées.
2. Priorisation : les problèmes critiques sont traités immédiatement.
3. Développement des correctifs : les correctifs de sécurité sont développés et testés en profondeur.
4. Publication : les mises à jour sont distribuées par nos canaux officiels.
5. Divulgation : nous divulguons publiquement les problèmes une fois les correctifs disponibles.

Niveaux de gravité

• Critique : exécution de code à distance, élévation de privilèges ou exposition grave de données.
• Élevée : contournement important de la sécurité ou divulgation de données.
• Moyenne : problème de sécurité avec impact modéré.
• Faible : observation mineure ou problème informatif.

Mises à jour de sécurité

Politique de mise à jour

• Mises à jour régulières : publication de mises à jour de sécurité lorsque nécessaire.
• Notifications : les clients sont avertis lorsque des mises à jour sont disponibles.
• Versions correctives : les correctifs sont rétroportés vers les versions prises en charge.
• Fin de vie : préavis fourni avant l’arrêt d’une version.

Versions prises en charge

Les mises à jour de sécurité sont fournies pour :

• La version majeure actuelle
• La version majeure précédente
• Les correctifs des problèmes critiques dans les anciennes versions, au cas par cas

Bonnes pratiques de sécurité pour les utilisateurs

Déploiement sécurisé

1. Sécurité réseau : déployez le logiciel dans des segments réseau sécurisés.
2. Contrôles d’accès : appliquez des règles adaptées de pare-feu et d’accès.
3. Mises à jour régulières : maintenez PKI Trust Manager à jour.
4. Surveillance : examinez les journaux d’audit pour repérer les activités inhabituelles.

Sécurité de configuration

1. Comptes de service : utilisez des comptes dédiés avec le minimum de privilèges.
2. Stockage sécurisé : protégez les fichiers de configuration et les résultats d’audit.
3. Stratégie de sauvegarde : sauvegardez régulièrement les données de gestion.
4. Alignement sur les politiques : configurez le logiciel selon les politiques de votre organisation.

Sécurité opérationnelle

1. Principe du moindre privilège : accordez uniquement les autorisations nécessaires.
2. Audits réguliers : examinez les activités de gestion et les schémas d’accès.
3. Réponse aux incidents : établissez des procédures pour les incidents de sécurité.
4. Formation : veillez à ce que les opérateurs comprennent leurs responsabilités de sécurité.

Conformité et normes

PKI Trust Manager prend en charge l’alignement sur :

• Certification ISO 27001
• Directives NIST pour la sécurité PKI
• Alignement SOC 2
• Normes du secteur pour la gestion des certificats
• Exigences réglementaires propres à votre secteur

Pratiques de sécurité de Securetron

Sécurité du développement

• Codage sécurisé : les développeurs suivent les normes de sécurité du secteur.
• Revue de code : tout le code fait l’objet d’une revue de sécurité.
• Tests : des tests de sécurité sont effectués régulièrement pendant le développement.
• Gestion des dépendances : nous surveillons les vulnérabilités des composants tiers.

Sécurité de l’infrastructure

• La sécurité est une responsabilité partagée.

Responsabilités de Securetron :

• Fournir un logiciel sécurisé
• Répondre aux signalements de vulnérabilités
• Publier des mises à jour de sécurité
• Maintenir la documentation de sécurité

Responsabilités des utilisateurs :

• Déployer le logiciel dans des environnements sécurisés
• Appliquer rapidement les mises à jour de sécurité
• Configurer des contrôles de sécurité appropriés
• Surveiller les activités suspectes
• Suivre les bonnes pratiques de sécurité

Champ d’application

Cette politique s’applique :

• Au logiciel PKI Trust Manager
• À la documentation et aux guides officiels
• Aux canaux de distribution hébergés par Securetron

Contact et assistance

Questions de sécurité

E-mail : [email protected]
Clé PGP : disponible sur https://www.securetron.net/security/

Assistance générale

E-mail : [email protected]
Documentation : https://securetron.net/documentation
Communauté : GitHub Discussions pour les questions non liées à la sécurité

Contacts d’urgence

Pour les incidents critiques affectant un environnement de production, indiquez « URGENT » dans l’objet de votre message afin que nous priorisions le signalement.

Mises à jour de la politique

Nous pouvons mettre cette politique à jour si nécessaire. La dernière version sera toujours disponible à l’adresse https://www.securetron.net/pki-trust-manager/security-policy.

Dernière mise à jour : octobre 2025
Version de la politique : 2.0

PKI Trust Manager est développé selon le principe fondamental de sécurité. Nous vous remercions de contribuer à la sécurité des environnements PKI.

Pour toute question de sécurité, contactez [email protected].