Nexus Group, société spécialisée dans la gestion des identités et la sécurité, a augmenté de 50% les ressources dédiées au développement de sa plateforme d’autorité de certification de 20 ans d’âge, et annonce de nouvelles fonctionnalités et garanties de qualité. « La numérisation généralisée des données accroît la demande pour des identités approuvées, pour les personnes comme pour les objets, et la popularité des solutions PKI s’est encore nettement renforcée – c’est pourquoi nous investissons de façon conséquente dans Certificate Manager, » explique Magnus Malmström, Responsable Produit chez Nexus.
La méthode de certification basée sur les infrastructures à clés publiques (PKI pour Public Key Infrastructure) est largement utilisée pour sécuriser l’authentification, le chiffrement des données et les signatures électroniques.
Selon Malmström : « Quand tout ce qui peut être numérisé est numérisé, des mécanismes de sécurisation fiables sont nécessaires. PKI s’est révélé être le meilleur choix, à la fois pour les personnes et l’IoT (Internet of Things). Un logiciel de CA fiable est un prérequis pour implémenter une solution PKI sécurisée, et nous enregistrons une forte demande pour Certificate Manager. »
Certificate Manager est une plateforme logicielle de CA flexible et évolutive, permettant de générer des identités électroniques (eIDs) pour des personnes, des logiciels ou des objets. CM permet de gérer le cycle de vie complet de tous types de certificats électroniques, et de garantir ainsi l’inviolabilité des eIDs générés.
Malmström : « Les identités approuvées constituent la base de toute sécurité, en permettant l’implémentation de l’authentification mutuelle, le chiffrement des données et les signatures numériques. »
Concernant les personnes, les principales utilisations de PKI sont la génération et la gestion d’identités approuvées pour les employés, les clients en ligne et le public. Les identités approuvées permettent la signature sécurisée en ligne de documents contractuels, et l’accès sécurisé à des ressources aussi bien physiques que numériques.
Dans l’IoT, tous les objets connectés ont besoin d’une identité approuvée pour pouvoir communiquer de façon sécurisée avec d’autres objets ou des personnes. L’utilisation de PKI dans l’IoT recouvre différents scénarios, permettant notamment de répondre aux exigences nouvelles de l’Industrie 4.0.
Malmström : « Nous constatons un intérêt croissant de l’industrie européenne pour l’utilisation de PKI en tant que fondation pour la quatrième révolution industrielle, qui transformera l’ensemble des systèmes de production, de gestion et de gouvernance. »
Un exemple actuel des avantages de PKI dans l’IoT est sa capacité de protection des périphériques qui constituent l’infrastructure des réseaux LTE (4G).
Malmström : « Plus d’une vingtaine d’opérateurs mobiles placent aujourd’hui leur confiance dans notre technologie de pointe orienté vers l’avenir (5G), au lieu de continuer à s’appuyer, par exemple, sur les mots de passe. »
Plusieurs autres clients importants ont décidé en 2016 d’acquérir Certificate Manager sous licence, et le logiciel est aujourd’hui utilisé pour générer et gérer plusieurs millions d’eIDs.
Malmström : « La fiabilité de Certificate Manager est attestée par le nombre de déploiements de CA critiques et à grande échelle. Mais au-delà, nous sommes honorés de la confiance que des banques, des entreprises du secteur de la défense, des fabricants d’appareils et d’autres organisations à travers le monde, accordent à notre logiciel de CA. »
Certificate Manager a vu le jour il y a 20 ans, et durant ses premières années la PKI était considérée par certains comme une méthode trop complexe et coûteuse.
Malmström : « C’est ainsi que quelques-uns de nos concurrents ont abandonné leur logiciel de CA. A présent il est clair que la PKI est non seulement toujours là, mais s’étend considérablement. Nous recevons beaucoup de demandes concernant la migration de données depuis, par exemple, des solutions UniCERT et RSA Digital. »
Depuis que Certificate Manager a été mis à niveau pour répondre aux exigences de sécurité présentes et à venir, la PKI n’est plus une méthode complexe ni coûteuse.
Le regain d’intérêt pour la PKI a été largement commenté, par exemple par Gartner :
« La PKI a constitué pendant deux décennies un outil de sécurité discret mais fondamental pour les professionnels de la gestion d’identités. L’IoT, la mobilité, la gestion du cycle de vie des certificats, les capacités et les nouvelles options de déploiement créent un regain d’intérêt pour la PKI, ses innovateurs potentiels et ses fournisseurs, » écrit Erik Wahlstrom, analyste chez Gartner dans un rapport de 2016 intitulé « PKI Is Gearing Up for the Internet of Things » (« La PKI s’équipe pour l’Internet des Objets »), dans lequel la solution PKI de Nexus est citée.
Selon Malmström, la PKI peut même jouer un rôle encore plus important dans l’avenir.
« Il y aurait beaucoup à dire au sujet des big data, mais si vous souhaitez réellement vous appuyer sur les données, ou si vous souhaitez les vendre, vous devez garantir leur intégrité. Et la PKI est la meilleure méthode pour cela aussi. »
L’avenir brillant prédit à la PKI, associé au bon positionnement de Certificate Manager sur le marché, ont naturellement conduit Nexus à investir massivement dans sa gamme de solutions CA.
Malmström précise : « Certificate Manager a de fantastiques antécédents, et c’est un grand plaisir d’annoncer que nous en améliorons encore davantage la qualité et la fonctionnalité. »
A présent, Certificate Manager génère des certificats numériques conformes à la règlementation européenne eIDAS. Ses certificats sont également conformes aux recommandations du groupe de travail PKIX et de l’European Telecommunications Standards Institute (ETSI), ainsi qu’à l’environnement de test EID 2.0 du Bureau suédois de l’e-identification.
Malmström : « Nous assurons également la prise en charge des principaux protocoles d’enregistrement de certificats, tels que CertEnroll, SCEP, CMP et CMC. Et nous annoncerons bientôt le support d’EST, le nouveau protocole standardisé d’enregistrement de certificats, au sujet duquel nous sommes très enthousiastes. »
Nexus collabore également avec l’institut de recherche SICS (Swedish Institute of Computer Science) pour le développement du nouveau protocole CEBOT, ultra léger et entièrement automatisé.
Malmström : « Nous rendons Certificate Manager plus simple encore à déployer dans le cloud. Nous avons développé une nouvelle interface web, et nous proposons une API REST, qui permet aux clients et aux développeurs de faciliter la personnalisation des processus d’enregistrement et de révocation. »
Certificate Manager prend en charge la multi-tenancy, dans laquelle plusieurs autorités de certification différentes peuvent utiliser la même instance logicielle pour implémenter des solutions eID indépendantes en parallèle.
Malmström : « La multi-tenancy signifie un coût total de possession plus faible, tout en garantissant le plus haut niveau de confidentialité dans la gestion des données clients. Ce concept est très intéressant pour les clients qui souhaitent maintenir des autorités de certification différentes pour chaque pays, ou pour chaque fournisseur d’équipement. Cela facilite également le déploiement de Certificate Manager dans le cloud, et son utilisation par plusieurs clients différents. »
Certificate Manager intègre les composants essentiels du protocole OCSP (Online Certificate Status Protocol), tels que le répondeur OCSP et l’horodatage (timestamping).
Malmström : « Pour une gestion plus complète du cycle de vie des jetons eID et PKI, Certificate Manager peut être utilisé conjointement à la plateforme Nexus PRIME. Nous avons standardisé l’intégration, de sorte que le logiciel est immédiatement opérationnel, sans nécessiter le recours à des personnalisations. »
Certificate Manager est également en cours de nouvelle certification EAL4+ (Evaluation Assurance Level 4+), conformément aux Critères communs (CC) pour l’Evaluation de la sécurité des systèmes d’information.
Malmström : « Nous avons entamé le rigoureux processus d’évaluation par des tiers, et la certification sera effective avant fin 2017. C’est une façon pour nous de montrer que nous continuerons à investir dans Certificate Manager, qui est réellement un logiciel d’autorité de certification exceptionnel. »
La société Nexus élabore en outre un système de gestion de la sécurité des informations, conforme aux normes de sécurité ISO/IEC 27002 et ISO/IEC 27001:2013.
« Les processus et les systèmes requis pour garantir la conformité systématique aux standards seront en place au premier trimestre 2017, après quoi nous passerons aux processus de certification, » conclut Malmström.