Rotation et détection des clés

La rotation des clés consiste à remplacer périodiquement un secret par un nouveau et à retirer l’ancien. Même une clé parfaitement stockée bénéficie d’une rotation :

• Elle limite la fenêtre d’exposition : si une clé a été divulguée sans que personne ne s’en aperçoive, la rotation l’invalide.
• Elle réduit l’usure cryptographique : moins de données sont chiffrées avec une même clé.
• Elle répond aux exigences de conformité : des normes comme PCI DSS imposent une rotation périodique.
• Elle supprime les accès des personnes parties : les identifiants vus par un ancien employé deviennent inutilisables.

L’idée essentielle est la suivante : la valeur d’un secret pour un attaquant diminue à mesure qu’il change. La rotation transforme une fuite en problème temporaire plutôt qu’en problème permanent.

Une rotation naïve — supprimer l’ancienne clé puis en créer une nouvelle — provoque des interruptions, car les consommateurs qui détiennent encore l’ancienne clé cessent immédiatement de fonctionner. Une rotation sûre utilise une période de validité qui se chevauche :

• 1. Générez une nouvelle clé en parallèle de la clé existante.
• 2. Distribuez la nouvelle clé à tous les consommateurs.
• 3. Activez la nouvelle clé pour les nouvelles opérations.
• 4. Période de grâce : les deux clés restent valides pendant que les consommateurs se mettent à jour.
• 5. Retirez l’ancienne clé une fois que plus rien ne l’utilise.

Ce chevauchement de deux clés constitue la base d’une rotation sans interruption.

Pour effectuer une rotation sans perturber le trafic, les services doivent accepter à la fois l'ancienne et la nouvelle clé pendant la période de grâce. Un vérificateur compare un jeton entrant à toute clé actuellement valide.

Pour les keys de signature, publiez plusieurs keys publiques et indiquez laquelle a signé un jeton à l'aide d'un identifiant de clé (ID, kid) dans l'en-tête. Les systèmes consommateurs sélectionnent automatiquement la clé correspondante.

Ce n'est qu'après que la télémétrie a confirmé l'absence totale de trafic sur l'ancienne clé que vous la retirez.

La rotation manuelle est rare, sujette aux erreurs et abandonnée sous pression. Automatisez-la. Les plateformes infonuagiques et les coffres peuvent effectuer une rotation selon une planification, sans intervention humaine :

• Le gestionnaire de secrets AWS exécute une fonction Lambda de rotation qui crée un nouvel identifiant, le teste et l'active.
• HashiCorp Vault effectue la rotation des identifiants racine et délivre des secrets dynamiques à courte durée de vie, afin que la rotation soit continue.
• KMS infonuagique peut effectuer automatiquement la rotation des clés de chiffrement selon un intervalle fixe.

La rotation automatisée est également la réponse la plus fiable à une fuite suspectée : une seule commande ou une seule planification, appliquée partout.

La rotation d'un mot de passe est simple : il suffit d'en créer un nouveau et de mettre à jour les systèmes consommateurs. La rotation d'une clé de chiffrement est plus difficile, car les anciennes données ont été chiffrées avec l'ancienne clé.

La solution standard est le chiffrement par enveloppe : les données sont chiffrées avec une clé de données propre à chaque objet, et cette clé de données est chiffrée par une clé de chiffrement des clés (KEK) principale. Pour effectuer la rotation, vous rechiffrez uniquement les petites clés de données avec la nouvelle KEK, et non l'ensemble des données.

Le moteur Transit de Vault gère cela avec des clés versionnées : il suit la version qui a chiffré chaque texte chiffré et vous permet de le ré-encapsuler avec la dernière version.

La rotation planifiée sert aux bonnes pratiques ; la rotation d'urgence sert aux compromissions. Lorsqu'une clé est connue ou soupçonnée d'être compromise, vous ignorez la lente période de grâce et effectuez immédiatement la rotation, en acceptant une brève interruption si nécessaire.

La préparation rend cette situation gérable :

• Conservez une procédure d'intervention testée pour effectuer la rotation de chaque type de secret.
• Sachez à l'avance quels sont tous les systèmes consommateurs de chaque secret.
• Préparez l'automatisation afin que la rotation d'urgence se fasse en une seule commande, et non au terme d'un projet de recherche.

La rapidité de votre rotation d'urgence détermine directement l'ampleur d'une compromission.

La rotation traite les fuites connues ; la détection permet de trouver celles qui sont inconnues. Les outils d'analyse des secrets recherchent des motifs d'identifiants dans le code, l'historique, les journaux et les artefacts.

Analysez plusieurs couches pour assurer une défense en profondeur :

• Avant la validation : bloquez les secrets avant leur entrée dans le dépôt.
• Chaîne d'intégration continue : détectez ce qui a contourné les contrôles locaux.
• À l'échelle du dépôt : effectuez régulièrement des analyses approfondies de l'historique complet.
• Côté plateforme : GitHub et GitLab analysent les secrets lors de chaque envoi.

Des outils comme gitleaks et trufflehog utilisent des expressions régulières et une analyse d'entropie pour repérer les chaînes à forte entropie qui ressemblent à des keys.

Les outils d'analyse utilisent deux techniques complémentaires :

• Comparaison de motifs : préfixes et formats connus ; par exemple, les keys AWS commencent par AKIA, les keys actives de Stripe par sk_live_ et les jetons GitHub par ghp_.
• Analyse d'entropie : mesure du caractère aléatoire. Les vrais secrets sont des chaînes à forte entropie ; une valeur longue à l'apparence aléatoire est suspecte, même sans préfixe connu.

Les motifs apportent de la précision (peu de faux positifs), tandis que l'entropie améliore le rappel (elle détecte les formats inconnus). Les bons outils combinent les deux et vous permettent d'ajuster les seuils et les listes d'autorisation pour maîtriser le bruit.

L'analyse permet de trouver les secrets là où ils ne devraient pas se trouver. Un jeton leurre (ou jeton canari) détecte lorsqu'un secret est utilisé par un attaquant.

Vous placez un identifiant factice d'apparence réaliste — une clé AWS, un jeton d'API ou une connexion à une base de données — dans des emplacements tentants comme un fichier de configuration ou un dépôt public. Cet identifiant ne sert à rien, mais toute tentative de l'utiliser déclenche une alerte.

Comme les systèmes légitimes ne touchent jamais au jeton leurre, chaque détection constitue un signal très fiable d'intrusion : un avertissement précoce indiquant qu'un attaquant a accès à votre coffre de secrets ou à votre base de code.

Au-delà des jetons leurres, surveillez la manière dont les secrets réels sont utilisés. Les journaux d'audit de votre coffre et de votre fournisseur de services infonuagiques révèlent les comportements abusifs :

• Nouvelle zone géographique : une clé soudainement utilisée depuis un pays inattendu.
• Accès en dehors des heures de travail : des identifiants utilisés à 3 heures du matin alors qu'aucune tâche ne s'exécute.
• Exploration des privilèges : une clé en lecture seule qui tente d'effectuer des écritures ou des appels d'administration.
• Pics de volume : une hausse soudaine du nombre d'appels d'API.

Envoyez ces journaux vers un SIEM doté d'alertes. La détection associée à une rotation rapide est la réponse pratique aux fuites qui échappent à la prévention.

Un programme mature associe la rotation proactive à la détection continue :

• Privilégiez les secrets dynamiques à courte durée de vie afin que la rotation soit automatique et constante.
• Automatisez la rotation planifiée pour tous les secrets statiques impossibles à éviter.
• Utilisez un chevauchement de deux clés pour effectuer la rotation des clés de signature sans interruption de service.
• Analysez tous les emplacements : avant la validation, intégration continue, historique et plateforme.
• Déployez des jetons leurres et surveillez les journaux d'audit pour détecter les utilisations anormales.
• Conservez des procédures d'urgence afin qu'une fuite confirmée fasse l'objet d'une rotation en quelques minutes.

L'objectif : que chaque secret ait une courte durée de vie, que chaque fuite soit détectable et que chaque rotation soit rapide et routinière.

Évaluez votre compréhension des techniques de détection.

Vous avez appris à renouveler les secrets et à détecter les fuites qui échappent aux contrôles.

• La rotation limite la fenêtre d'exposition et permet de respecter les exigences de conformité ; une rotation sûre utilise un chevauchement de deux clés pour éviter toute interruption.
• Automatisez la rotation avec les gestionnaires infonuagiques, Vault et KMS ; privilégiez les secrets dynamiques à courte durée de vie afin que la rotation soit continue.
• La rotation des clés de chiffrement utilise le chiffrement par enveloppe afin de ré-encapsuler de petites clés de données plutôt que des ensembles de données entiers.
• La rotation d'urgence repose sur des procédures d'intervention et sur la connaissance préalable de tous les systèmes consommateurs.
• La détection associe l'analyse des secrets (motifs et entropie), les jetons leurres qui révèlent leur utilisation et la surveillance des anomalies au moyen des journaux d'audit et d'un SIEM.
• Une stratégie mature réunit rotation proactive et détection continue afin que les fuites soient de courte durée, visibles et rapidement contenues.

Vous avez terminé le cours sur la gestion des secrets et la rotation des clés.