L’avenir de SSH? Combiner opkssh et cidaas pour une sécurité sans faille

Le problème – L’accès SSH aujourd’hui : un goulot d’étranglement en matière de sécurité

La gestion traditionnelle des accès SSH à l’aide de données d’accès statiques – qu’il s’agisse de clés ou de mots de passe – entraîne une complexité opérationnelle et des risques de sécurité considérables. La distribution, la rotation et le verrouillage manuels des clés SSH sur des infrastructures dynamiques et des groupes d’utilisateurs changeants sont sujets aux erreurs, difficiles à faire évoluer et augmentent la surface d’attaque du système. Les données d’accès statiques peuvent être compromises – un fait qui devient un véritable problème, en particulier dans les environnements à grande échelle. Mais que se passerait-il si l’accès SSH pouvait être directement lié à un fournisseur d’identité existant – avec des données d’accès éphémères gérées automatiquement?

La solution – L’approche moderne : opkssh rencontre cidaas

C’est précisément ce que permet l’intégration de l’outil opkssh d’OpenPubkey avec une solution performante de gestion des identités et des accès (IAM) comme cidaas.

Qu’est-ce que opkssh (OpenPubkey SSH)?

opkssh révolutionne l’accès SSH en remplaçant les clés statiques par des identifiants éphémères liés à l’identité. L’outil est basé sur le protocole innovant OpenPubkey et permet aux utilisateurs de s’authentifier auprès des serveurs SSH avec leur identité OpenID-Connect (OIDC). Au lieu des clés SSH classiques, opkssh utilise les ID-tokens d’un fournisseur OIDC pour générer des certificats ou des clés SSH temporaires liés cryptographiquement à l’identité – sans infrastructure à clé publique (PKI) ou autorité de certification (CA) complexe.

Qu’est-ce que c’est?

cidaas est une solution IAM puissante pour une authentification sécurisée. La solution complète de gestion des identités et des accès (IAM) offre des fonctions complètes telles que l’authentification unique (SSO), l’authentification multifactorielle (MFA) et fait surtout office de fournisseur OpenID Connect (OIDC) robuste. Elle gère les identités des utilisateurs, les politiques d’authentification et délivre les jetons d’identification dont opkssh a besoin pour l’accès SSH.

En savoir plus sur cidaas dans notre documentation détaillée

Comment opkssh et cidaas fonctionnent ensemble

1. Authentification:
   Un utilisateur établit une connexion SSH à l’aide du client opkssh.
   
   
2. Flux OIDC:
   opkssh redirige l’utilisateur pour qu’il s’authentifie auprès de cidaas (en utilisant le login standard de son entreprise, éventuellement avec MFA).
   
   
3. Émission de jetons d’identification:
   Une fois l’authentification réussie, cidaas émet un jeton d’identification OIDC signé à opkssh.
   
   
4. Génération de justificatifs éphémères:
   opkssh utilise le jeton d’identification et le protocole OpenPubkey pour générer une clé ou un certificat SSH éphémère, liant cryptographiquement la clé à l’identité de l’utilisateur contenue dans le jeton.
   
   
5. Connexion SSH:
   L’utilisateur se connecte au serveur SSH cible à l’aide de cet identifiant éphémère.
   
   
6. Vérification du serveur:
   Le serveur SSH (configuré pour faire confiance à cidaas en tant que fournisseur OIDC) vérifie la signature et la validité du justificatif par rapport aux clés publiques de cidaas et confirme l’identité et l’autorisation de l’utilisateur.

Pourquoi intégrer opkssh à cidaas? Les principaux avantages en un coup d’œil

L’intégration de ces deux outils puissants offre des avantages significatifs:

• SSH sans mot de passe et sans clé: les utilisateurs n’ont plus besoin de gérer des clés SSH statiques ou des mots de passe pour accéder au serveur.
• Sécurité renforcée: Exploite des informations d’identification de courte durée liées aux sessions d’authentification de l’OIDC, ce qui réduit considérablement le risque associé à des clés statiques compromises. L’accès expire automatiquement à la fin de la session OIDC.
• Gestion centralisée des identités: Utilise cidaas comme source unique de vérité pour l’identité de l’utilisateur et la politique d’authentification (y compris MFA, accès conditionnel, etc.) pour l’accès SSH.
• Opérations simplifiées: Plus de distribution manuelle, de rotation ou de révocation des clés SSH pour les utilisateurs. L’intégration et la désinsertion des utilisateurs sont grandement facilitées.
• Auditabilité améliorée: Les événements d’accès SSH sont directement liés aux événements d’authentification OIDC auditables dans cidaas.
• Architecture sans CA: Évite la complexité et les coûts associés à la mise en place et à la maintenance d’une autorité de certification SSH traditionnelle.

Cas d’utilisation réels pour opkssh et cidaas

Qu’il s’agisse de sécuriser l’accès des développeurs à l’infrastructure cloud ou de renforcer les autorisations du pipeline CI/CD, la combinaison d’opkssh et de cidaas offre une approche évolutive et axée sur l’identité pour l’authentification SSH. Vous trouverez ci-dessous des scénarios pratiques dans lesquels cette intégration simplifie le contrôle d’accès tout en améliorant la sécurité et l’auditabilité.

Scénarios typiques:

• Organisations utilisant cidaas comme IAM central.
• Équipes de développement ayant besoin d’un accès sécurisé aux environnements en nuage (AWS, GCP, Azure).
• Sécurisation de l’accès aux pipelines CI/CD.
• Amélioration de la posture de sécurité et adoption des principes Zero Trust pour l’accès à l’infrastructure.
• Simplifier la gestion des accès SSH dans les grandes organisations ou les organisations dynamiques.

Conclusion : L’accès SSH réimaginé – Commencez dès aujourd’hui

La combinaison de l’approche sans CA et basée sur OIDC d’opkssh et des puissantes fonctions d’identité et de sécurité de cidaas représente une avancée majeure pour simplifier et sécuriser simultanément les accès SSH.

En s’appuyant sur les identités et les politiques de sécurité existantes dans cidaas, il est possible de mettre en place un modèle d’authentification moderne, sûr et convivial pour les accès SSH – sans clés statiques, sans efforts de gestion manuelle ni exploitation d’une infrastructure de certificats séparée.

Prêt à simplifier votre stratégie d’accès SSH? Contactez-nous ou réservez directement votre démo.