Appliquer le principe de Peter Parker à l’inspection TLS

Jay KelleyResponsable senior du marketing produit | F5

« Un grand pouvoir implique de grandes responsabilités. » Sans oublier Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées « Spider-Man », où elle est attribuée à l’oncle Ben de Peter Parker. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à toutes sortes de situations et de sujets, y compris — comme l’indique le titre — à l’inspection TLS.

Récemment, la National Security Agency (NSA) des États-Unis a publié un avis concernant les risques potentiels liés au déploiement de l’inspection de la sécurité de la couche de transport (TLSI). L’avis de la NSA présentait également des méthodes permettant aux organisations qui déploient et utilisent des produits TLSI d’atténuer les éventuelles failles de sécurité.

Petit rappel sur la TLSI : la TLSI, également appelée « déchiffrement et inspection TLS », est un processus qui permet aux organisations de déchiffrer puis de rechiffrer le trafic réseau protégé par TLS, voire par le protocole Secure Socket Layer (SSL). La TLSI est indispensable aux organisations, car la plupart des attaques sont aujourd’hui dissimulées dans du trafic chiffré. Par exemple, selon les dernières études, plus de 90 % des chargements de pages sont désormais chiffrés avec SSL/TLS, et 71 % des sites web d’hameçonnage utilisent des certificats de chiffrement.

Aujourd’hui, de nombreuses organisations utilisent un dispositif dédié, tel qu’un proxy, un pare-feu, un système de détection d’intrusion (IDS) ou un système de prévention des intrusions (IPS), pour déchiffrer et rechiffrer le trafic chiffré avec TLS. D’autres continuent de faire transiter le trafic chiffré avec TLS par une chaîne de dispositifs de leur infrastructure de sécurité, ce qui impose un déchiffrement et un rechiffrement au niveau de chaque dispositif de sécurité. L’ensemble du processus TLSI aide les organisations à détecter les menaces potentielles, telles que les logiciels malveillants, dans le trafic chiffré entrant. Il leur permet également de surveiller le trafic chiffré sortant afin de détecter les exfiltrations de données et les communications actives de commande et contrôle (C2) avec des serveurs malveillants prêts à télécharger des moyens d’attaque supplémentaires.

Mais selon l’avis de la NSA, la méthode d’inspection TLS utilisée, ainsi que la manière dont elle est déployée, peuvent également exposer une organisation à de graves risques.

Dans son avis, la NSA recommande également que le trafic TLS ne soit déchiffré et inspecté qu’une seule fois au sein du réseau d’une organisation. L’avis indique clairement qu’il ne faut pas déchiffrer, inspecter et rechiffrer le trafic TLS à l’aide d’un proxy direct, puis l’envoyer vers un autre proxy direct afin d’y effectuer la même opération. Cette pratique accroît la surface de risque sans apporter aucun avantage supplémentaire.

Si une organisation déploie ou utilise une solution TLSI qui ne valide pas correctement les certificats TLS, le chiffrement TLS peut être affaibli, ouvrant ainsi la voie à des attaques de l’homme du milieu (MiTM).

Un dispositif de proxy direct fonctionnant de manière incorrecte et utilisé pour l’inspection TLS (TLSI) peut entraîner le réacheminement du trafic déchiffré vers un dispositif tiers non autorisé, ainsi que le vol ou l’utilisation abusive de données sensibles.

Selon l’avis de la NSA, la surveillance du flux de trafic réseau vers le proxy direct peut contribuer à réduire les risques d’exploitation. En outre, afin de s’assurer que la TLSI fonctionne comme prévu, l’avis recommande d’analyser les journaux, ce qui permet de détecter le trafic mal acheminé et de repérer les abus ou les utilisations inappropriées, intentionnels ou non, de la part des administrateurs.

En outre, les produits TLSI devront probablement chaîner les connexions TLS, ce qui pourrait entraîner une dégradation de la protection du chiffrement et permettre l’exploitation d’une suite cryptographique ou d’une version de TLS moins robuste. Certaines solutions TLSI peuvent n’autoriser les versions de TLS et les suites cryptographiques moins robustes qu’à titre exceptionnel.

La plupart des dispositifs de proxy direct TLSI intègrent leur propre autorité de certification (AC) interne afin de créer et de signer de nouveaux certificats. Toutefois, cette AC intégrée pourrait servir à signer du code malveillant en contournant des mécanismes de sécurité tels que les systèmes IDS et IPS, ou à déployer des services malveillants imitant des services légitimes. L’avis de la NSA recommande aux organisations de choisir des produits qui mettent correctement en œuvre les flux de données, le protocole TLS et l’autorité de certification.

Une autre surface d’attaque peut se situer à l’endroit où le dispositif TLSI déchiffre le trafic, juste avant que celui-ci ne soit envoyé aux dispositifs de sécurité. Le trafic est alors en clair et vulnérable aux attaques, ce qui pourrait permettre aux attaquants de récupérer des identifiants utilisateur et d’autres données sensibles.

F5 SSL Orchestrator garantit que le trafic chiffré est déchiffré, inspecté par les contrôles de sécurité appropriés, puis rechiffré, offrant ainsi une visibilité sur ce trafic et réduisant les risques liés aux menaces dissimulées. SSL Orchestrator optimise également l’efficacité des investissements de sécurité existants en chaînant dynamiquement les services de sécurité et en acheminant le trafic déchiffré selon des règles définies, tout en appliquant au trafic chiffré des renseignements contextuels. En outre, SSL Orchestrator gère et déploie de manière centralisée les technologies de chiffrement les plus récentes dans l’ensemble de l’infrastructure de sécurité d’une organisation. Il centralise la gestion des certificats et des clés, tout en assurant une gestion et un contrôle rigoureux des suites cryptographiques. SSL Orchestrator surveille de manière indépendante l’état de chaque service de sécurité. Il garantit également que les solutions de sécurité fonctionnent avec une efficacité optimale et peuvent évoluer tout en assurant une haute disponibilité grâce aux capacités d’équilibrage de charge et de mise à l’échelle de F5. Enfin, il prend en charge les normes gouvernementales et sectorielles les plus strictes et les plus rigoureuses en matière de sécurité et de confidentialité.

L’avis de la NSA insiste sur la nécessité d’effectuer correctement le déchiffrement et l’inspection TLS, et de ne le faire qu’une seule fois. Bien qu’une solution tout-en-un telle qu’un pare-feu de nouvelle génération (NGFW) puisse sembler répondre techniquement à ce principe, elle s’avère en réalité peu pratique lorsqu’il s’agit de prendre en charge tous les types de trafic chiffré et de répondre aux exigences de débit. Ce qu’il faut réellement — et la meilleure approche pour effectuer correctement et une seule fois le déchiffrement et l’inspection TLS —, c’est un ensemble étroitement surveillé et connecté de manière sécurisée de produits multifournisseurs, configurés sous la forme d’une solution assurant une seule fois le déchiffrement, l’inspection et le rechiffrement. Cette approche se révélera plus flexible, plus résiliente et plus pratique.

Avec F5 SSL Orchestrator, une organisation n’a pas besoin de chaîner des dispositifs de proxy direct. Elle n’a pas non plus à assurer une surveillance indépendante du trafic, ni même à mettre en place une surveillance supplémentaire des dispositifs. L’architecture reposant sur un proxy complet, la suite cryptographique ou la méthode de chiffrement la plus sûre est utilisée. En d’autres termes, SSL Orchestrator atténue tous les risques soulevés dans la recommandation de la NSA, tout en aidant les organisations à respecter le principe bien établi selon lequel le pouvoir va de pair avec la responsabilité.

À propos de l’auteur

Jay KelleyResponsable senior du marketing produit | F5

Autres articles de Jay Kelley