Audit SSH : retrouver les clés oubliées

Réponse courte

Un audit SSH consiste à recenser les clés autorisées sur un parc de serveurs et à déterminer à qui elles appartiennent. L'exercice révèle presque toujours des clés orphelines, laissées par d'anciens prestataires ou salariés, qui ouvrent encore un accès sans que personne n'en garde la trace.

Ce qu'un audit d'accès cherche à établir

Qui peut entrer sur quelles machines, avec quelle clé, depuis quand, et qui l'a autorisé. Dans la plupart des infrastructures qui n'ont jamais été auditées, aucune de ces quatre questions n'a de réponse écrite.

Le point de départ est le recensement des clés autorisées sur chaque serveur. C'est mécanique et fastidieux, et c'est ce qui produit la première surprise : le nombre d'entrées sans propriétaire identifiable.

Vient ensuite le rapprochement avec la liste des personnes en poste et des prestataires en contrat. L'écart entre les deux listes est le résultat principal de l'audit.

La dernière question, qui a autorisé, est souvent la plus embarrassante. En l'absence de procédure, les accès se sont accordés au fil des besoins, sans trace.

Comment il se déroule concrètement

Inventaire des machines, extraction des clés autorisées, rapprochement avec les personnes, classement des écarts par risque, puis révocation. Le tout se mène en quelques jours sur une infrastructure de taille moyenne.

Le classement par risque évite de tout traiter en même temps. Une clé orpheline sur un serveur de production ne se compare pas à la même clé sur une machine de test isolée.

La révocation se fait par lots, avec une fenêtre de retour arrière. Couper tous les accès douteux d'un coup un vendredi soir est le meilleur moyen de bloquer une intervention légitime le lundi.

Le livrable utile n'est pas le rapport mais la procédure qui empêche la dérive de recommencer : qui accorde un accès, comment il est tracé, et à quel moment il est retiré.

Ce qui doit rester après l'audit

Un inventaire daté, une procédure d'octroi et de retrait, et un rendez-vous périodique de relecture. Sans ces trois éléments, la situation redevient identique en dix-huit mois.

L'inventaire n'a de valeur que daté. Un document sans date ne permet pas de savoir s'il décrit la situation actuelle ou celle d'il y a deux ans.

La procédure de retrait est le point le plus souvent oublié. L'octroi se fait naturellement, puisque quelqu'un le demande ; le retrait ne se fait que s'il est prévu.

La relecture périodique peut être brève. Une demi-heure par trimestre suffit à empêcher l'accumulation qui avait rendu l'audit nécessaire.

Questions fréquentes

Combien de temps prend un audit des accès SSH ?

Quelques jours sur une infrastructure de taille moyenne : inventaire des machines, extraction des clés autorisées, rapprochement avec les personnes en poste, classement des écarts, puis révocation par lots.

Que trouve-t-on le plus souvent ?

Des clés sans propriétaire identifiable, en nombre supérieur à ce que l'équipe imaginait. Elles proviennent d'anciens salariés, de prestataires dont le contrat est terminé, et d'interventions ponctuelles jamais nettoyées.

Comment éviter que la situation se reproduise ?

Trois éléments : un inventaire daté, une procédure qui définit qui accorde et qui retire un accès, et une relecture périodique. Une demi-heure par trimestre suffit à empêcher l'accumulation.

Savoir où vous en êtes avant d'agir

Le Diagnostic IA relève ce que les moteurs, classiques et génératifs, affichent aujourd'hui à propos de votre activité, et pointe les écarts à corriger en premier.