Clé d’entreprise partagée

Donnez à chaque ordinateur sa propre clé et retirez la clé d’entreprise partagée, afin qu’un ordinateur compromis ne puisse pas parler au nom de tous les autres.

Ouvrir les clés des agents dans votre console

Où le trouver
Appareils › Clés des agents
Qui peut l’utiliser
Les super administrateurs de l’organisation ou de l’organisation qui la gère
Pour
Administrateurs des organisations qui utilisent l’agent Lavawall
Forfait
Tous les forfaits qui comprennent l’agent Lavawall. Voir les tarifs

Ce qu’est la clé d’entreprise partagée

Des captures d’écran de cette page seront ajoutées sous peu. Les étapes ci-dessous reprennent les libellés de la console.

Chaque organisation dans Lavawall® a une clé d’entreprise partagée. Les agents Lavawall plus anciens en gardaient une copie sur chaque ordinateur de l’organisation. Ils s’en servaient pour prouver à Lavawall qu’ils appartiennent à cette organisation, et elle protégeait des renseignements sensibles que transmettent les ordinateurs, comme les clés de récupération BitLocker et les clés de produit Windows.

Une clé que tous les ordinateurs détiennent n’est pas plus sûre que l’ordinateur le moins bien protégé. Une personne qui prend le contrôle administrateur d’un seul ordinateur pourrait copier la clé, puis se faire passer pour n’importe quel ordinateur de l’organisation : envoyer de faux résultats d’inventaire ou d’état, ou cacher un problème.

Les agents Lavawall créent maintenant leur propre clé sur chaque ordinateur, conservée dans la puce de sécurité de l’ordinateur lorsqu’il en a une. Chaque ordinateur ne parle alors qu’en son propre nom. Lorsque tous les ordinateurs d’une organisation sont prêts, vous pouvez retirer la clé d’entreprise partagée : elle n’existe plus sur aucun ordinateur et Lavawall ne l’accepte plus.

Pourquoi la retirer

  • Un ordinateur ne peut plus parler au nom des autres. Une clé prise sur un ordinateur ne sert à rien sur un autre.
  • Des dégâts limités. Un ordinateur perdu, volé ou compromis n’affecte que lui-même; vous ne traitez que cet ordinateur.
  • Des clés de récupération protégées à part. Avec le séquestre des clés de récupération BitLocker, les ordinateurs ne portent plus rien qui puisse ouvrir les clés de récupération des autres ordinateurs.
  • Des preuves pour les audits. La clé de chaque ordinateur et chaque changement apporté sont consignés dans le journal d’activité, ce qui aide à répondre aux questions de SOC 2, d’ISO 27001, de CJIS et des assureurs cyber sur l’identité des appareils.

Ce que vous voyez dans la page Clés des agents

  1. Organisation : choisissez votre propre organisation ou l’un des clients que vous gérez.
  2. Clé d’entreprise partagée : si la clé est en usage ou retirée, et un sommaire : combien d’ordinateurs vus au cours des 30 derniers jours sont prêts, combien ne le sont pas, et combien n’ont pas été vus depuis plus longtemps et ne comptent pas.
  3. Retirer la clé d’entreprise et Annuler le retrait.
  4. Requêtes signées et horodatées (protocole v2) : Exiger le protocole v2 oblige chaque requête d’un ordinateur à porter l’heure à laquelle elle a été faite et une valeur à usage unique, de sorte qu’une requête enregistrée ne puisse pas être rejouée.
  5. Jeton d’inscription et Séquestre des clés de récupération BitLocker : voyez Jeton d’inscription et Séquestre des clés de récupération BitLocker.
  6. Ordinateurs : un tableau triable et filtrable qui indique, pour chaque ordinateur, la Dernière connexion de l’appareil, si l’Agent utilisateur, l’Analyseur de réseau local et l’Agent d’élévation ont leur propre clé, la version de l’Agent à distance et si l’ordinateur est Prêt.

Comment retirer la clé d’entreprise partagée

Procédez une organisation à la fois, en commençant par une organisation de test. L’ordre ci-dessous évite les interruptions.

  1. Dans la console, allez à Appareils › Clés des agents et choisissez l’Organisation.
  2. Sous Séquestre des clés de récupération BitLocker, cliquez sur Créer une clé de séquestre, puis sur Remettre sous séquestre maintenant jusqu’à ce qu’il ne reste aucun lecteur dans l’ancien format.
  3. Créez un jeton d’inscription, mettez à jour vos commandes d’installation enregistrées et vos scripts de déploiement, puis exigez le jeton.
  4. Surveillez le tableau Ordinateurs jusqu’à ce que chaque ordinateur récent ait sa propre clé pour chaque agent installé et une version à jour de l’Agent à distance. Mettez à jour ou retirez les ordinateurs qui restent non prêts.
  5. Cliquez sur Exiger le protocole v2.
  6. Cliquez sur Retirer la clé d’entreprise et confirmez. Le bouton n’est offert que lorsque chaque ordinateur vu au cours des 30 derniers jours est prêt.

Ce qui change lorsque vous la retirez

  • Lavawall cesse immédiatement d’accepter la clé d’entreprise partagée pour cette organisation.
  • Chaque ordinateur supprime sa copie à sa prochaine connexion, dès que chaque agent Lavawall qu’il porte a sa propre clé. D’ici là, il garde la copie, mais ne peut plus l’utiliser avec Lavawall.
  • Les ordinateurs qui n’ont pas été vus depuis plus de 30 jours ne bloquent pas le retrait. Lorsque l’un d’eux revient, réinstallez l’agent.
  • Rien ne change pour les personnes qui utilisent les ordinateurs : le soutien à distance, les correctifs et la surveillance continuent comme avant.

Comment l’annuler

Cliquez sur Annuler le retrait dans la même page. Lavawall accepte de nouveau la clé partagée pour cette organisation. Les ordinateurs qui ont déjà supprimé leur copie continuent de fonctionner avec leurs propres clés. L’annulation reste possible jusqu’à ce que le soutien Lavawall remplace l’ancienne clé de l’organisation, la dernière étape, qui rend inutile toute copie restée dans d’anciennes sauvegardes.

Qui peut la voir et la modifier

  • Seul un super administrateur de l’organisation, ou de l’organisation qui la gère, peut ouvrir la page et utiliser ces commandes. Les autres rôles voient un message indiquant que seul un super administrateur peut gérer les clés des agents.
  • Lavawall revérifie le rôle et l’organisation à chaque action, pas seulement à l’ouverture de la page.
  • Les changements à fort impact (retirer, annuler, exiger le protocole v2) vous demandent une confirmation avant de prendre effet.

Ce qui est consigné dans le journal d’activité

  • Le retrait de la clé d’entreprise partagée et son annulation, avec qui l’a fait, quand et pour quelle organisation.
  • L’activation ou la désactivation du protocole v2.
  • L’inscription, le remplacement ou la révocation de la clé propre à chaque ordinateur, et toute requête refusée parce que la clé ne correspondait pas à l’ordinateur.

Questions fréquentes

À quoi sert la clé d’entreprise partagée?
C’est une clé commune à toute l’organisation que les agents Lavawall plus anciens gardaient sur chaque ordinateur pour prouver qu’ils appartiennent à l’organisation et pour protéger des renseignements sensibles qu’ils transmettent, comme les clés de récupération BitLocker. Chaque agent a maintenant sa propre clé sur chaque ordinateur, ce qui permet de retirer la clé partagée.
Quel est le risque de garder la clé d’entreprise partagée?
Chaque ordinateur en détient une copie : une personne qui contrôle un seul ordinateur en tant qu’administrateur pourrait la copier et se faire passer pour n’importe quel ordinateur de l’organisation. La retirer limite les dégâts d’un ordinateur compromis à cet ordinateur.
Pourquoi le bouton Retirer la clé d’entreprise est-il grisé?
Au moins un ordinateur vu au cours des 30 derniers jours n’est pas encore prêt : l’un de ses agents a encore besoin de la clé d’entreprise, ou son agent à distance doit être mis à jour. Le tableau Ordinateurs indique lesquels.
Le retrait dérangera-t-il mes utilisateurs?
Non. Les ordinateurs prêts utilisent déjà leurs propres clés. Seul un ordinateur hors ligne depuis plus de 30 jours doit faire réinstaller son agent à son retour.
Puis-je annuler un retrait?
Oui. Cliquez sur Annuler le retrait dans la page Clés des agents. C’est possible jusqu’à ce que le soutien Lavawall remplace l’ancienne clé de l’organisation.
Dois-je le faire pour chaque client?
Le retrait se règle par organisation. Un super administrateur d’un fournisseur de services gérés peut le faire pour chaque organisation cliente qu’il gère, depuis la même page, une organisation à la fois.

Besoin d’aide?

Cherchez dans le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous vous trouviez :

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.