Certificats des API Web d’Arbiter et de Sentinel

Les API Web Specops Password Policy Sentinel et Specops Password Arbiter utilisent des certificats de serveur TLS auto-signés gérés par Specops. Ces certificats sont validés par l'ancrage des certificats, authentifiant le serveur et protégeant contre les attaques de type homme du milieu.

Les scanners de vulnérabilités peuvent signaler des certificats auto-signés car ils ne sont pas liés à une autorité de certification de confiance. Cela identifie correctement le type de certificat, mais ne prend pas en compte l'ancrage des certificats appliqué par Specops. Une détection de certificat auto-signé seule ne démontre donc pas une vulnérabilité de type homme du milieu.

L'ancrage des certificats établit la confiance dans un certificat ou une clé publique spécifique. C'est une technique de sécurité établie adaptée aux environnements contrôlés tels que ces connexions internes, où Specops gère à la fois le logiciel client et les certificats serveur.

Les services publics de Specops, y compris le site de téléchargement et l'API Cloud Breached Password Protection, utilisent des certificats émis par une autorité de certification et une validation standard basée sur l'autorité de certification.

Specops gère automatiquement les certificats pour les points de terminaison des API Web Sentinel et Arbiter et utilise l'ancrage des certificats pour valider l'identité du serveur. Cette configuration gérée est nécessaire pour maintenir la relation de confiance prévue entre les composants Specops.

Si un scanner de vulnérabilités signale une détection basée uniquement sur l'utilisation de certificats auto-signés, cette détection doit être documentée comme une configuration attendue, avec l'ancrage des certificats enregistré comme le mécanisme de validation du serveur.