Applications avec certificat épinglé

L'épinglage des certificats TLS est le moment où une application de bureau ou mobile valide si les certificats de serveur proposés correspondent à ceux codés en dur dans l'application. Il s'agit d'une technique de sécurité utilisée pour prévenir les attaques de type "man-in-the-middle" (MITM) et sécuriser l'accès aux applications de votre organisation.

Les applications épinglées avec certificat prédéfini contournent par défaut le nuage Netskope. Vous pouvez également créer des applications personnalisées avec certificat et les ajouter en tant qu'exceptions à votre configuration de pilotage pour les contourner.

Sur la page Certificate Pinned Apps (Settings > Security Cloud Platform > App Definition > Certificate Pinned Apps), vous pouvez :

Pilotage et décryptage des applications épinglées par un certificat

Vous pouvez décrypter le trafic de certaines applications épinglées par un certificat afin d'y appliquer des politiques de protection en temps réel. Pour ce faire, vous devez d'abord ajouter l'application dans votre profil de pilotage.

Après avoir ajouté l'application, procédez comme suit :

1. Go to Settings > Security Cloud Platform > App Definition > Certificate Pinned Apps.

2. Recherchez l'application épinglée par le certificat que vous souhaitez piloter et décryptez le trafic.

3. Cliquez sur l'ellipse (…) de l'application sélectionnée.

4. Cliquez sur Steering Config Exceptions.

   

5. Dans la colonne Actions, cliquez sur le menu déroulant correspondant au profil de pilotage que vous êtes en train de configurer.

6. Cliquez sur More.

   

7. Si le trafic peut être décrypté, sélectionnez l'option de pilotage Steer and decrypt at Netskope Cloud .

   

   Une fois que vous avez sélectionné cette option, tout le trafic correspondant à cette application et à ce système d'exploitation passe par Netskope NewEdge Cloud et est automatiquement décrypté sans aucune configuration supplémentaire requise. Vous pouvez ensuite appliquer des politiques de protection en temps réel à cette application.

Pilotage et décryptage des DevTools

Les outils de développement n'utilisent généralement pas le magasin de certificats du système, ce qui rend inefficace le certificat Netskope déployé avec NSClient. Ces outils de développement sont soit contournés, soit nécessitent des configurations scriptées pour déployer correctement le certificat Netskope.

Une solution plus simple consiste à utiliser la technologie de décryptage avancée de Netskope pour décrypter le trafic DevTools sans configuration personnalisée.

Pour ce faire, créez manuellement ces DevTools en tant qu'applications cert-pinées personnalisées. Pour plus d'informations, reportez-vous à la section Création d'une application épinglée de certificat personnalisé.

Netskope prend en charge les DevTools suivants. Leurs configurations sont décrites ci-dessous :

DEVTOOL	PROCESS	DOMAINE(S)
CLI d'Amazon Web Services (AWS)	aws.exe	-
Azure CLI (azcli)	python.exe	-
CLI de Google Cloud (gcloud)	python.exe	-
Composer	php.exe	-
Python	python.exe, pythonw.exe	-

Après avoir créé l'application personnalisée avec certificat, configurez son option "steer and decrypt" (voler et décrypter). Pour plus d'informations, reportez-vous à la section Pilotage et décryptage des applications épinglées par un certificat.

Par défaut, le trafic web provenant des applications prédéfinies avec certificat contourne le nuage Netskope et se dirige directement vers les destinations :