5 min de lecture<\/p>\n
Les comptes de service, les cl\u00e9s API et les agents d\u2019IA d\u00e9passent souvent en nombre les comptes humains. Or, personne ne se soucie de la plupart de ces acc\u00e8s. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que s\u2019ouvre la prochaine faille : en dehors de l\u2019endpoint s\u00e9curis\u00e9.<\/strong><\/p>\n TL;DR<\/p>\n Articles associ\u00e9s :<\/span>Quel contr\u00f4le subsiste apr\u00e8s le d\u00e9ploiement des agents ?<\/a> \/<\/span> Kimi met fin aux abonnements : 7 v\u00e9rifications pour le Capex IA<\/a><\/p>\n Qu\u2019est-ce qu\u2019une identit\u00e9 machine ?<\/strong> Une identit\u00e9 machine d\u00e9signe un acc\u00e8s technique utilis\u00e9 par les syst\u00e8mes pour agir. Cela inclut les comptes de service, les cl\u00e9s API, les tokens, les certificats, les bots et les agents d\u2019IA. Elles authentifient les syst\u00e8mes entre eux, portent des droits et se multiplient avec chaque int\u00e9gration. Sans propri\u00e9taire ni cycle de vie d\u00e9fini, elles restent souvent actives bien apr\u00e8s la disparition de leur utilit\u00e9 initiale.<\/p>\n<\/div>\n Chaque migration vers le cloud, chaque nouveau microservice et chaque automatisation g\u00e9n\u00e8re des identit\u00e9s. Un pipeline de d\u00e9ploiement a besoin d\u2019un jeton pour d\u00e9ployer du code. Un service de monitoring n\u00e9cessite une cl\u00e9 pour lire les m\u00e9triques. Une int\u00e9gration entre deux plateformes SaaS cr\u00e9e en arri\u00e8re-plan un compte technique. Rien de tout cela n\u2019appara\u00eet dans les processus classiques des ressources humaines, car derri\u00e8re ces acc\u00e8s ne se cache aucun \u00eatre humain \u00e0 onboarder ou \u00e0 offboarder.<\/p>\n Dans de nombreuses organisations, les identit\u00e9s non humaines d\u00e9passent largement les identit\u00e9s humaines. Ce qui compte moins, c\u2019est la relation exacte que la dynamique de croissance. Les identit\u00e9s humaines croissent de mani\u00e8re lin\u00e9aire avec les effectifs. Les identit\u00e9s machines, elles, augmentent avec chaque d\u00e9cision architecturale, chaque outil dans la stack et d\u00e9sormais avec chaque agent IA qui acc\u00e8de de mani\u00e8re autonome aux syst\u00e8mes. Leur nombre \u00e9volue plus rapidement que la plupart des programmes de gestion des identit\u00e9s ne peuvent suivre.<\/p>\n Le probl\u00e8me s\u2019aggrave du fait que ces identit\u00e9s sont mal document\u00e9es. Une cl\u00e9 API est souvent cr\u00e9\u00e9e rapidement pour faire fonctionner une int\u00e9gration. Elle est stock\u00e9e dans un fichier de configuration, un script ou un gestionnaire de secrets, puis rarement touch\u00e9e ensuite. Apr\u00e8s quelques changements de personnel, plus personne ne sait qui l\u2019a cr\u00e9\u00e9e, \u00e0 quoi elle sert ni si elle est encore n\u00e9cessaire.<\/p>\n Lorsqu\u2019un collaborateur quitte l\u2019entreprise, le r\u00e9flexe d\u2019offboarding s\u2019applique. Les comptes machines, eux, continuent souvent de fonctionner jusqu\u2019\u00e0 ce qu\u2019une attaque ne les r\u00e9v\u00e8le.<\/p>\n<\/blockquote>\n Lorsqu\u2019un collaborateur quitte l\u2019entreprise, un processus \u00e9tabli se met en place : compte bloqu\u00e9, appareils r\u00e9cup\u00e9r\u00e9s, droits r\u00e9voqu\u00e9s. Pour les identit\u00e9s machines, ce r\u00e9flexe est quasi inexistant. Un compte de service cr\u00e9\u00e9 par un d\u00e9veloppeur parti depuis longtemps pour un projet reste actif. Le jeton d\u2019une application d\u00e9sactiv\u00e9e n\u2019est jamais r\u00e9voqu\u00e9. La cl\u00e9 de test qui a par erreur atterri en production continue de fonctionner.<\/p>\n Ces acc\u00e8s orphelins sont particuli\u00e8rement attractifs pour les attaquants. Ils disposent souvent de droits \u00e9tendus, car le principe du moindre privil\u00e8ge est moins appliqu\u00e9 aux comptes techniques qu\u2019aux utilisateurs humains. Ils sont rarement surveill\u00e9s, car personne ne s\u2019attend \u00e0 un comportement suspect de leur part. De plus, ils contournent de nombreux m\u00e9canismes de protection con\u00e7us pour les utilisateurs humains. L\u2019authentification multifactorielle ne s\u2019applique pas \u00e0 une cl\u00e9 API statique. Un jeton vol\u00e9 se comporte techniquement comme un jeton l\u00e9gitime.<\/p>\n Les identifiants compromis et les secrets mal g\u00e9r\u00e9s figurent parmi les vecteurs d\u2019attaque r\u00e9currents. Les cl\u00e9s et jetons concern\u00e9s sont souvent int\u00e9gr\u00e9s dans le code, un d\u00e9p\u00f4t ou un fichier de logs : au-del\u00e0 du mot de passe humain. S\u00e9curiser uniquement le volet humain revient \u00e0 prot\u00e9ger une infime partie de la surface d\u2019attaque.<\/p>\n O\u00f9 se situe r\u00e9ellement le risque<\/p>\n La majorit\u00e9 des identit\u00e9s dans une stack moderne ne sont pas humaines.<\/strong> Ces comptes sont ceux qui restent le plus longtemps sans surveillance, disposent souvent des droits les plus \u00e9tendus et \u00e9chappent aux m\u00e9canismes de protection con\u00e7us pour les utilisateurs humains. L\u2019endpoint est durci. Le compte de service de 2021, lui, ne l\u2019est pas.<\/p>\n<\/div>\n Pour sortir du chaos, il faut une gestion structur\u00e9e des identit\u00e9s existantes. Un simple produit de s\u00e9curit\u00e9 suppl\u00e9mentaire ne suffira pas. Quatre \u00e9tapes forment un programme solide.<\/p>\n Premi\u00e8rement, l\u2019inventaire et la d\u00e9couverte.<\/strong> Avant de s\u00e9curiser quoi que ce soit, il faut avoir une vue d\u2019ensemble. Quels comptes de service, cl\u00e9s, jetons et bots existent, dans quels syst\u00e8mes et avec quels droits ? Les plateformes cloud, les pipelines CI\/CD, les gestionnaires de secrets et les int\u00e9grations SaaS sont les sources typiques. Un premier examen manuel vaut mieux que d\u2019attendre l\u2019outil parfait.<\/p>\n Deuxi\u00e8mement, l\u2019attribution des responsabilit\u00e9s.<\/strong> Chaque identit\u00e9 machine doit avoir un responsable humain. Un compte sans propri\u00e9taire est un compte que personne ne d\u00e9sactivera, faute de personne pour s\u2019en soucier. L\u2019attribution des responsabilit\u00e9s transforme un jeton anonyme en une d\u00e9cision tra\u00e7able, v\u00e9rifiable et r\u00e9vocable.<\/p>\n Troisi\u00e8mement, le principe du moindre privil\u00e8ge et la rotation.<\/strong> Les comptes techniques re\u00e7oivent souvent plus de droits que n\u00e9cessaire, simplement pour gagner du temps. Chaque identit\u00e9 ne devrait porter que les autorisations strictement requises par sa fonction. Les secrets statiques et permanents doivent \u00eatre remplac\u00e9s par des identifiants \u00e9ph\u00e9m\u00e8res et automatiquement renouvel\u00e9s. Une cl\u00e9 r\u00e9\u00e9mise toutes les quelques heures repr\u00e9sente une cible bien plus r\u00e9duite.<\/p>\n Quatri\u00e8mement, la gestion du cycle de vie et la d\u00e9sactivation.<\/strong> Les identit\u00e9s machines m\u00e9ritent le m\u00eame cycle de vie que les utilisateurs humains. Lorsqu\u2019une application est arr\u00eat\u00e9e, un projet termin\u00e9 ou une int\u00e9gration supprim\u00e9e, l\u2019acc\u00e8s associ\u00e9 doit dispara\u00eetre automatiquement. Un contr\u00f4le r\u00e9gulier permet de rep\u00e9rer les comptes inactifs depuis des mois. Ces \u00ab comptes fant\u00f4mes \u00bb sont les premiers candidats \u00e0 la r\u00e9vocation.<\/p>\n La prochaine vague provient de votre propre service d’innovation. Les agents IA autonomes, capables d’ex\u00e9cuter des t\u00e2ches de mani\u00e8re ind\u00e9pendante, n\u00e9cessitent un acc\u00e8s aux syst\u00e8mes, aux donn\u00e9es et \u00e0 d’autres services. Chacun de ces agents repr\u00e9sente une nouvelle identit\u00e9 machine, souvent dot\u00e9e de droits \u00e9tendus pour garantir une flexibilit\u00e9 optimale. Contrairement \u00e0 un script rigide, un agent prend des d\u00e9cisions en temps r\u00e9el. Son comportement est donc plus difficile \u00e0 anticiper, et par cons\u00e9quent, plus complexe \u00e0 surveiller.<\/p>\n Si vous ne ma\u00eetrisez pas aujourd’hui l’expansion anarchique des identit\u00e9s (Identity-Sprawl), vous importerez ce probl\u00e8me sous une forme aggrav\u00e9e avec chaque nouvelle initiative IA. Un agent dot\u00e9 de droits excessifs, dont personne ne peut identifier le propri\u00e9taire, est exactement le type d’acc\u00e8s qui, dans deux ans, sera consid\u00e9r\u00e9 comme abandonn\u00e9. La rigueur appliqu\u00e9e aujourd’hui aux comptes de service constitue la condition sine qua non pour d\u00e9ployer des agents IA en toute s\u00e9curit\u00e9.<\/p>\n L\u2019entr\u00e9e en mati\u00e8re n\u2019a rien de spectaculaire, et c\u2019est pr\u00e9cis\u00e9ment ce qui en fait l\u2019efficacit\u00e9. Un inventaire des identit\u00e9s non humaines dans les environnements les plus critiques, en commen\u00e7ant par la plateforme cloud et les pipelines centraux. Chaque identit\u00e9 d\u00e9couverte se voit attribuer trois informations : sa finalit\u00e9, son propri\u00e9taire et sa derni\u00e8re activit\u00e9. Tout ce qui ne dispose pas d\u2019une finalit\u00e9 claire ou qui n\u2019a pas \u00e9t\u00e9 utilis\u00e9 au cours des derniers mois est plac\u00e9 sur une liste de v\u00e9rification. Cette liste sert de base \u00e0 la premi\u00e8re op\u00e9ration de nettoyage, qui \u00e0 son tour permet d\u2019\u00e9tablir une r\u00e8gle pour l\u2019avenir. Aucun nouvel acc\u00e8s technique ne sera accord\u00e9 sans propri\u00e9taire d\u00e9sign\u00e9 ni condition d\u2019expiration d\u00e9finie. Le nombre d\u2019identit\u00e9s machines ne cessera d\u2019augmenter. C\u2019est cette discipline qui d\u00e9terminera si leur croissance sera ma\u00eetris\u00e9e ou non.<\/p>\n Il s\u2019agit de tous les acc\u00e8s derri\u00e8re lesquels ne se cache aucun utilisateur humain : comptes de service, cl\u00e9s API, jetons (tokens), certificats, bots et agents d\u2019IA autonomes. Ces identit\u00e9s s\u2019authentifient aupr\u00e8s des syst\u00e8mes et disposent de droits d\u2019acc\u00e8s, mais sont rarement g\u00e9r\u00e9es selon les m\u00eames processus que les comptes utilisateurs humains. Dans les environnements modernes, elles sont g\u00e9n\u00e9ralement plus nombreuses que les identit\u00e9s humaines.<\/p>\n<\/details>\n Parce qu\u2019ils continuent de fonctionner avec des droits complets, alors qu\u2019aucun responsable ne s\u2019en occupe plus. L\u2019authentification multifacteur ne prot\u00e8ge pas une cl\u00e9 statique. Un jeton vol\u00e9 se comporte techniquement comme un jeton l\u00e9gitime. Les attaquants exploitent pr\u00e9cis\u00e9ment ces comptes non surveill\u00e9s, car ils sont rarement contr\u00f4l\u00e9s et offrent souvent des acc\u00e8s \u00e9tendus.<\/p>\n<\/details>\n Commencez par la visibilit\u00e9 avant le contr\u00f4le. Un inventaire manuel des environnements cl\u00e9s, d\u2019abord sur les plateformes cloud et les pipelines centraux, est pr\u00e9f\u00e9rable \u00e0 attendre un outil parfait. Chaque identit\u00e9 se voit attribuer un objectif, un propri\u00e9taire et une derni\u00e8re activit\u00e9. Ce qui n\u2019a pas d\u2019objectif ou n\u2019a pas \u00e9t\u00e9 actif est examin\u00e9 et, en cas de doute, retir\u00e9.<\/p>\n<\/details>\n Autres articles du r\u00e9seau MBF Media<\/p>\n\n
Pourquoi le nombre d\u2019identit\u00e9s machines \u00e9chappe \u00e0 tout contr\u00f4le<\/h2>\n
\n
Les acc\u00e8s orphelins restent actifs apr\u00e8s la fin du projet<\/h2>\n
Quatre \u00e9tapes pour ma\u00eetriser l\u2019expansion anarchique des identit\u00e9s<\/h2>\n
Les agents IA reproduisent les m\u00eames erreurs de cycle de vie<\/h2>\n
La premi\u00e8re \u00e9tape des 90 prochains jours<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Qu\u2019entendez-vous par identit\u00e9s non humaines ou identit\u00e9s machines ?<\/strong><\/summary>\n
Pourquoi les acc\u00e8s orphelins repr\u00e9sentent-ils un danger si important ?<\/strong><\/summary>\n
Par o\u00f9 commencer lorsque l\u2019inventaire est trop complexe ?<\/strong><\/summary>\n