Le Bureau de la gestion et du budget de la Maison-Blanche (OMB) a récemment émis une directive majeure à l’intention des dirigeants de l’administration fédérale américaine, faisant de Login.gov la principale solution d’authentification sur l’ensemble des sites web fédéraux accessibles au public.
La directive établit des échéances de mise en conformité ambitieuses, imposant aux agences de recenser les portails authentifiés dans un délai de 60 jours, de mener des évaluations complètes des risques liés à l’identité numérique dans un délai de 240 jours et d’assurer un déploiement opérationnel complet dans les deux ans.
La directive de l’OMB fait passer la consolidation de l’identité numérique du statut d’aspiration lointaine des agences à celui d’obligation concrète de conformité, contraignant les responsables à moderniser les architectures existantes tout en protégeant les services accessibles au public.
Obstacles opérationnels
La directive impose aux agences de promouvoir Login.gov comme fournisseur d’identité (IdP) par défaut pour l’authentification des citoyens, tout en continuant à prendre en charge les prestataires commerciaux de services d’identification (CSP) agréés pour répondre à des besoins opérationnels spécifiques.
Pour les DSI, les RSSI et les architectes d’entreprise des agences, cela représente un double défi : respecter des délais stricts tout en intégrant un fournisseur d’identité moderne compatible avec OpenID Connect (OIDC) et SAML au sein d’une infrastructure complexe.
“F5 simplifie la mise en conformité grâce à une architecture de courtage d’identités et de sécurité en périphérie directement intégrée à la F5 Application Delivery and Security Platform (ADSP).”
La plupart des infrastructures numériques fédérales ne sont pas conçues pour une intégration directe avec OIDC. Des milliers d’applications critiques s’appuient sur des mécanismes d’authentification hérités (tels que Kerberos, l’injection d’en-têtes HTTP et les jetons de session propriétaires) qui ne peuvent pas interpréter nativement les assertions provenant de fournisseurs d’identité modernes sans une refonte approfondie du code.
Dans le même temps, la centralisation du trafic des citoyens sur des processus d’authentification publics crée des cibles de grande valeur pour les attaques automatisées et pilotées par l’IA, telles que le bourrage d’identifiants, la prise de contrôle de comptes et la fraude à l’identité synthétique, qui visent les points de terminaison d’inscription des agences avant même que l’échange d’authentification n’ait lieu.
La feuille de route de mise en conformité
La directive de l’OMB définit quatre étapes clés de mise en œuvre sur une période de deux ans :
- Dans un délai de 60 jours (recensement des sites web et des API) : Les agences doivent fournir à l’OMB un inventaire validé de l’ensemble des sites web, applications web et API accessibles au public qui nécessitent une authentification des utilisateurs.
- Dans un délai de 240 jours (évaluation des risques liés à l’identité numérique) : Les agences doivent évaluer la résilience des mécanismes d’authentification, les processus de vérification de l’identité et les vulnérabilités à la fraude sur l’ensemble des points d’accès publics.
- Dans un délai d’un an (coexistence de plusieurs fournisseurs) : Les agences doivent adopter les bonnes pratiques de Login.gov de la General Services Administration, faire de Login.gov l’option par défaut et maintenir la coexistence avec des CSP commerciaux agréés (tels que ID.me ou CLEAR) pour les populations d’utilisateurs ayant des besoins spécifiques.
- Dans un délai de deux ans (déploiement opérationnel complet) : Les agences doivent veiller au déploiement complet de Login.gov dans tous les systèmes fédéraux destinés au public concernés.
Gérer ces transitions avec F5
F5 simplifie la mise en conformité grâce à une architecture de courtage d’identité et de sécurité en périphérie directement intégrée à la plateforme F5 Application Delivery and Security Platform (ADSP). Au lieu d’obliger les organismes à repenser manuellement l’architecture de leurs applications, F5 fait office de point centralisé d’application des politiques et de passerelle de protocoles directement dans le chemin des données afin de les aider à atteindre les objectifs suivants :
- Découverte automatisée et cartographie de la surface (échéance de 60 jours) : F5 API security et F5 Distributed Cloud Web App Scanning peuvent automatiquement détecter et répertorier les applications web accessibles au public, les points de terminaison et les API fantômes dans les environnements hybrides et multicloud. Associées aux données de télémétrie de F5 Insight for ADSP, ces solutions permettent aux organismes de générer des inventaires complets et audités des surfaces authentifiées sans modifier le code sous-jacent.
- Gestion de la fraude et des bots avant authentification (échéance à 240 jours) : F5 Distributed Cloud Bot Defense applique une télémétrie comportementale basée sur l’IA à la périphérie de l’application afin de bloquer le bourrage automatisé d’identifiants, les attaques par force brute et les tentatives de création de faux comptes avant que le trafic n’atteigne Login.gov ou les serveurs de l’agence. F5 WAAP surveille en continu le trafic et inspecte les flux d’authentification des API, fournissant ainsi des données télémétriques quantifiables pour les évaluations des risques menées par l’agence.
- Intermédiation d’identité et fédération multi-IdP (échéance à un an) : F5 BIG-IP Zero Trust Access fait office de passerelle intelligente de fédération des identités. La solution oriente par défaut les nouveaux utilisateurs vers Login.gov, tout en acheminant certains workflows à haut niveau d’assurance ou hérités vers des CSP commerciaux approuvés, et applique des politiques d’autorisation unifiées à l’ensemble des différents fournisseurs d’identité en amont.
- Passerelle entre protocoles existants sans refonte de l’architecture (objectif à deux ans) : BIG-IP Zero Trust Access met fin aux assertions OIDC et SAML de Login.gov au niveau du proxy d’entrée et les convertit en sessions Kerberos (KCD), en en-têtes HTTP ou en sessions RADIUS requises par les systèmes back-end existants. Pour les organismes de haute sécurité, de défense et de renseignement, F5 VELOS et F5 rSeries offrent, grâce à leurs châssis, des performances certifiées FIPS 140-2/3 et DoDIN APL pour les déploiements souverains et isolés physiquement.
Les bons outils pour respecter le calendrier
Le mandat de l’OMB est sans équivoque : la consolidation des identités numériques constitue une priorité opérationnelle immédiate. Les agences qui s’y préparent en amont en répertoriant les points de terminaison d’authentification, en automatisant la protection contre les bots en périphérie et en mettant en œuvre des passerelles de protocoles tenant compte des identités pourront mener ces transitions sans difficulté, bien avant les échéances de mise en conformité.
Découvrez comment ces solutions et d’autres solutions F5 pour le secteur public aident les agences fédérales à répondre à l’évolution des exigences de conformité et à accélérer la modernisation de leurs infrastructures.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.