Politique de sécurité de PKI Trust Auditor

Présentation

Ce document décrit la politique de sécurité, les procédures de gestion des vulnérabilités et les considérations de sécurité de PKI Trust Auditor. Cet outil d’audit traite des données sensibles d’infrastructure PKI ; il est donc essentiel de maintenir des pratiques de sécurité robustes.

Divulgation responsable

Signaler une vulnérabilité

Nous prenons la sécurité de PKI Trust Auditor au sérieux. Si vous pensez avoir découvert une vulnérabilité, veuillez nous la signaler selon les modalités suivantes :

Contacts : [email protected] (principal), [email protected] (secondaire). Clé PGP disponible sur demande pour les communications chiffrées.

Informations à fournir : description détaillée, étapes de reproduction, versions concernées, évaluation de l’impact et, si disponibles, preuve de concept ou captures d’écran.

Délais de réponse :

• Accusé de réception sous 48 heures.
• Évaluation initiale sous 5 jours ouvrés.
• Plan de correction des problèmes critiques sous 10 jours ouvrés.
• Divulgation publique coordonnée avec le signalant après disponibilité d’un correctif.

Considérations de sécurité

Sécurité des données

• L’application utilise les identifiants de l’utilisateur actuel ; elle ne stocke ni ne met en cache les identifiants et s’appuie sur l’authentification intégrée Windows.
• Il est recommandé d’utiliser des comptes de service dédiés avec le minimum de privilèges requis.
• Les résultats sont stockés localement dans `Audit-Results/`. Les preuves contiennent des données d’évaluation de sécurité et doivent être protégées.
• Les certificats et CRL téléchargés sont conservés pour analyse et doivent être considérés comme sensibles.
• Selon cette politique, l’application ne transmet pas de données sensibles à l’extérieur.

Sécurité réseau

Protocoles utilisés : WMI via DCOM/RPC sur le port 135 ; PowerShell Remoting via WinRM sur 5985/5986 ; LDAP sur 389/636 ; HTTP/HTTPS pour tester l’accessibilité des URL AIA/CDP.

• Segmentez le réseau des serveurs CA.
• Utilisez des canaux chiffrés disponibles (LDAPS, WinRM HTTPS).
• Configurez le pare-feu pour les ports requis.
• Surveillez le trafic réseau à la recherche d’activités suspectes.

Sécurité de l’application

• Les paramètres de configuration CA sont validés avant exécution ; les données de certificat sont analysées avec une gestion appropriée des erreurs.
• Les modèles sont analysés avec des contrôles de sécurité ; les requêtes du registre sont validées et assainies.
• Les erreurs sont journalisées sans exposer d’informations sensibles. Les traces de débogage ne sont pas présentées aux utilisateurs.
• Analysez régulièrement les dépendances tierces, appliquez les correctifs .NET et surveillez les avis concernant System.DirectoryServices et System.Management.
• Appliquez des pratiques de codage sécurisé aux scripts PowerShell personnalisés.

Gestion des vulnérabilités

Classification de gravité

• Critical : exécution de code à distance, élévation de privilèges ou exposition de données.
• High : divulgation d’informations, déni de service ou contournement d’authentification.
• Medium : problèmes de configuration de sécurité ou contrôles d’accès inappropriés.
• Low : divulgations informatives ou observations mineures.

L’évaluation tient compte de l’impact sur l’infrastructure PKI, du risque d’exposition d’identifiants ou de certificats, de l’intégrité des audits et preuves, et des implications de conformité.

Correction et publication

Les correctifs sont développés dans des branches isolées, testés dans plusieurs environnements PKI, évalués pour leur compatibilité avec les résultats existants et soumis à une revue de sécurité avant publication. Les mises à jour sont publiées sous forme de versions correctives (par exemple 1.0.1) avec des notes détaillées ; les utilisateurs sont informés par plusieurs canaux. Des publications accélérées peuvent être prévues pour les problèmes critiques.

Divulgation coordonnée

• Les vulnérabilités sont divulguées après disponibilité des correctifs.
• Les chercheurs respectant le processus de divulgation responsable sont crédités.
• Les informations publiques doivent permettre d’évaluer le risque.
• Les vulnérabilités zero-day ne sont pas divulguées sans mesure d’atténuation disponible.

Canaux : GitHub Security Advisories, notifications par e-mail aux utilisateurs inscrits, annonces Web et réseaux sociaux.

Bonnes pratiques pour les utilisateurs

• Installez l’outil sur des serveurs d’audit dédiés et utilisez des comptes aux privilèges minimaux.
• Protégez le répertoire des résultats et les fichiers `parameters.json`.
• Utilisez des comptes de service de domaine dédiés pour accéder aux CA.
• Mettez en place journalisation, surveillance et revue périodique de la configuration.
• Limitez l’accès réseau aux ports/protocoles requis, séparez les responsabilités et révisez les comptes.
• Si possible, exécutez les audits pendant les fenêtres de maintenance ; protégez les preuves et supprimez correctement les fichiers temporaires.

Conformité et réponse aux incidents

PKI Trust Auditor aide à évaluer les contrôles liés à NIST SP 800-53, PCI DSS, ISO 27001 et CIS Benchmarks. Il peut produire des journaux horodatés, des preuves par contrôle, des rapports de conformité et un suivi des remédiations. La conformité dépend de la mise en œuvre et des contrôles généraux de l’organisation.

Maintenez des procédures de signalement, d’analyse des preuves, de communication des événements et de revue après incident.

Mises à jour, versions et fin de vie

• Surveillez les avis de sécurité et analysez régulièrement les dépendances.
• Les correctifs de sécurité sont publiés selon les besoins ; les versions de maintenance peuvent apporter des améliorations de sécurité.
• La politique indique que la version majeure actuelle et la précédente sont prises en charge, et que les correctifs de sécurité sont réservés aux versions prises en charge.
• Elle prévoit un préavis de 6 mois avant la fin de vie et 12 mois de support sécurité après publication. Un support prolongé est indiqué pour les clients Enterprise, avec des chemins de migration.

Contacts et mentions légales

Responsable sécurité : [email protected]
Assistance technique : [email protected]
Contact d’urgence pour les incidents critiques : disponible selon la politique.

Cette politique peut être modifiée sans préavis. Les utilisateurs sont responsables de mettre en œuvre des mesures de sécurité appropriées. L’équipe de développement fournit une assistance de sécurité dans la mesure du possible.