Une grille d'évaluation, pas un argumentaire de vente
Les dix règles d'or de la gestion des identifiants
Ce sont les règles sur lesquelles un système d'identifiants devrait être construit — techniques, vérifiables, avec réussite/échec. Appliquez n'importe quel outil à celles-ci, y compris le nôtre, et comptez combien il en respecte. La plupart de l'industrie en respecte moins de la moitié, car la manière dont les secrets ont été stockés pendant vingt ans était conçue pour des humains qui devaient les lire et s'en souvenir. Supprimez cette hypothèse et la barre monte. Voici où elle devrait se situer.
Dix règles. Clavitor respecte chacune d'elles.
Chaque règle est un principe universel de bonne gestion des identifiants. En dessous de chacune, en termes simples, se trouve exactement comment Clavitor s'y conforme.
01 — Clé aléatoire
La clé est aléatoire, et aucun humain ne la voit jamais.
Un secret qu'une personne peut lire peut être hameçonné, deviné, réutilisé ou extorqué. La clé doit être un matériau aléatoire que la machine génère — jamais affiché, jamais tapé, jamais récupérable à partir de quoi que ce soit qu'un humain connaît.
02 — Pas de mot de passe maître
Il n'y a pas de mot de passe maître. Une clé matérielle est la seule clé.
Un mot de passe maître est une porte, et une porte peut être forcée. Une phrase de récupération pour le propriétaire est une phrase de récupération pour l'attaquant. La racine de confiance doit être une clé physique qui doit être présente.
03 — Opérateur aveugle
L'opérateur ne peut pas déchiffrer les données qu'il stocke.
Si l'entreprise qui gère les serveurs peut lire vos secrets, alors un employé malveillant, une assignation à comparaître, ou quiconque compromet cette entreprise le peut aussi. La confidentialité devrait reposer sur les mathématiques, pas sur le bon comportement de l'opérateur.
04 — Aucune donnée au repos là où le code s'exécute
Un secret n'existe que le temps de son utilisation, sans jamais résider sur la machine qui exécute le code.
Un identifiant dans un fichier .env, une variable d'environnement, un cache local ou la mémoire vive de la machine est à la disposition de tout ce qui s'exécute ensuite pour le récupérer, et il est tout aussi exposé sur un appareil client que sur un serveur. Une copie locale chiffrée reste une copie, avec sa clé sur la même machine. Le code doit pouvoir utiliser un secret, jamais en avoir la garde.
05 — Pas d'énumération
Un agent ne peut pas énumérer. Il n'atteint que ce qui lui a été nommé.
Si un acteur peut lister, rechercher ou parcourir le magasin, un seul compromis devient une carte de tout ce que vous possédez. L'incapacité d'énumérer est plus forte que toute limite placée sur l'énumération.
06 — Lié à la machine
Un identifiant est lié à la machine à laquelle il a été émis.
Supposez qu'un identifiant sera éventuellement volé. Ce qui compte, c'est de savoir s'il vaut quelque chose en dehors de la machine à laquelle il appartient. Une clé qui fonctionne de n'importe où fonctionne depuis l'ordinateur portable de l'attaquant.
07 — Pas de vidage massif
Aucun acteur unique ne peut vider le coffre-fort.
L'utilisation normale touche une poignée de secrets. Un vol essaie de tout prendre, rapidement. Le système devrait distinguer les deux et arrêter le second sans que le propriétaire ait à surveiller.
08 — Journalisé et attribué
Chaque action est journalisée et attribuée.
Les comptes partagés et les lectures silencieuses détruisent la responsabilité. Lorsque quelque chose tourne mal, vous devez savoir exactement qui, ou quoi, l'a fait, et chaque identifiant qu'il a touché. Un enregistrement avec des lacunes n'est pas un enregistrement.
09 — Cryptographie validée
La cryptographie est validée, pas inventée.
La cryptographie maison est la façon dont les équipes intelligentes perdent. Les primitives protégeant un secret devraient être celles que des réviseurs indépendants ont déjà validées, et la construction devrait rendre impossible de les expédier sans elles. L'ennuyeux et l'audité battent le malin.
10 — Récupération à deux parties
Aucun coffre-fort n'est récupéré sans son propriétaire, et aucun par le propriétaire seul.
La récupération est l'endroit où la plupart des systèmes rouvrent discrètement toutes les portes qu'ils avaient fermées : réinitialisation par e-mail, code SMS, question de sécurité, service d'assistance susceptible d'être convaincu d'accorder une dérogation. Le chemin de retour vers un coffre-fort doit nécessiter le propriétaire et plus que le propriétaire, de sorte qu'un secret de récupération volé ni un fournisseur compromis ne soit jamais suffisant à lui seul.
Parcourez la liste.
Exécutez votre outil actuel sur les dix. Puis exécutez le nôtre. Nous les avons écrits parce que la plupart de l'industrie échoue silencieusement à plusieurs — et nous avons construit Clavitor pour n'en manquer aucune.