Qu'est-ce que la "confiance zéro" ?

Imaginez que vous travaillez dans un grand bureau (vous n'avez peut-être pas besoin d'imaginer). Il peut s'agir d'une entreprise, d'un gouvernement, d'un organisme juridique, d'une organisation à but non lucratif, peu importe. Imaginez maintenant que vous ayez besoin d'un document remis en main propre à un collègue, signé et renvoyé. La raison de cette procédure n'est pas importante, alors inventez un scénario. Quoi qu'il en soit, ce document doit être remis sous forme papier et signé physiquement. Ok, tu as tout ça en tête ? Réfléchissons à trois manières dont cela pourrait se dérouler :

Scénario 1 : 100 % de confiance

Imaginez que vous preniez personnellement ce document entre vos mains, que vous marchiez dans le couloir jusqu'au bureau de votre collègue, que vous lui donniez le document, que vous le regardiez le signer, puis que vous le receviez. C'est à cela que ressemble une confiance à 100% dans un processus : il n'y a pas d'intermédiaires, le document n'a jamais été perdu de vue, il n'y a pas de place pour l'ambiguïté ou l'incertitude.

Scénario 2 : Confiance raisonnablement bonne

Maintenant, ajoutons une petite complication : vous êtes un gros bonnet. Vous ne le promenez pas vous-même dans le couloir (qui a le temps pour ça ?), vous le remettez à votre assistante administrative. Ils prennent le document dans le couloir. Peut-être même le transmettent-ils à l'administrateur de votre collègue. Ensuite, ce processus est inversé après sa signature.

Dans ce scénario, nous avons des intermédiaires. Mais ces intermédiaires sont assez dignes de confiance : ce sont vos administrateurs toujours présents et hautement compétents. Et le document ne quitte jamais votre étage ou votre bâtiment, vous êtes donc sûr que rien ne peut mal tourner. Il s'agit d'un scénario de confiance « raisonnablement bonne ». Dans le domaine de la cybersécurité, nous pourrions comparer cela à ce que l'on appelle maintenant le « modèle de sécurité périmétrique ». Dans ce modèle, les réseaux informatiques sont conçus pour fonctionner comme des systèmes internes fermés comme le bureau que nous avons décrit ci-dessus. Les informations sont transmises entre les différents systèmes du réseau à l'aide d'une série d'intermédiaires internes, mais ils ne quittent jamais le bâtiment (virtuel). Tant que le réseau interne est sécurisé, ces informations le sont également. Pourriez-vous avoir un administrateur secrètement diabolique qui vous espionne pour un rival ? Bien sûr, c'est une possibilité théorique. De même, dans le modèle de périmètre de sécurité, vous pourriez avoir des appareils compromis à l'intérieur du réseau. Mais si vous faites un bon travail en protégeant ce périmètre (un bon travail en embauchant vos administrateurs, dans notre analogie), le risque est faible et vous pouvez opérer avec une confiance raisonnable que le réseau est sécurisé (tout comme vous feriez raisonnablement confiance à vos administrateurs pour remettre le document). Ou du moins, c'est la théorie. Nous y reviendrons dans quelques instants. c'est la théorie. Nous y reviendrons dans quelques instants. c'est la théorie. Nous y reviendrons dans quelques instants.

Scénario 3 : Zero Trust

Maintenant, soyons beaucoup plus compliqués. Le collègue que vous devez faire signer ce document ne travaille pas dans votre immeuble. Vous travaillez pour une organisation géante avec de nombreux bureaux dans toute la région/le pays/le monde. Votre collègue est dans un tout autre établissement. Pour envoyer le document à cette installation, votre administrateur appelle un service de messagerie. Le service de messagerie se rend dans votre immeuble, prend le document de votre administrateur et s'en va. Finalement, un autre représentant du service de messagerie apparaît dans le bâtiment où travaille votre collègue. Ils font passer le document par le point de contrôle de sécurité du bâtiment, jusqu'à l'étage où travaille votre collègue, par la réceptionniste de la réception, jusqu'à l'administrateur de votre collègue. Nous revenons maintenant au « système interne ». Lorsque le document est signé, nous renversons le processus via le service de messagerie, la sécurité de votre immeuble et la réceptionniste de votre étage. Beaucoup plus de mains ont touché ce document et inséré une boîte noire géante au milieu du processus : que se passe-t-il pendant que le document est en possession du service de messagerie ? Ce n'est pas que vous ne faites pas du tout confiance à ce service de messagerie (sinon, pourquoi les embaucheriez-vous ?). Mais malgré la confiance que vous pouvez leur accorder, vous n'avez aucune visibilité sur leur processus interne. Comment trient-ils, hiérarchisent-ils, et gérer les livraisons ? Font-ils tout eux-mêmes ou y a-t-il des intermédiaires ou des sous-traitants supplémentaires ? Combien de personnes au service de messagerie ont accès à votre document pendant qu'il est en leur possession ? Quelles sont leurs politiques internes concernant la gestion des documents ? Quel est leur processus d'embauche/de sélection ? Peut-être que votre administrateur est au courant de cela ou peut-être que votre équipe juridique ou de relations avec les partenaires le sait, mais je suppose que vous ne le savez pas.

Voici à quoi ressemble Zero Trust. Il s'appuie sur des parties qui sont en quelque sorte une boîte noire : vous savez que vous leur donnez un message et qu'il ressort de l'autre côté, mais vous n'avez aucune idée de ce qui se passe entre les deux. Dans le domaine de la sécurité informatique, cela est analogue aux systèmes qui s'exécutent dans le cloud ou au trafic qui doit traverser l'Internet ouvert. Comme de plus en plus de travail s'effectue à distance, de plus en plus de systèmes correspondent à cette description, des e-mails aux bases de données internes, aux CRM, aux outils de gestion de projet ou aux lecteurs de documents, etc., surtout s'ils doivent être accessibles par les employés à distance. Les services de messagerie dans cette analogie sont les fournisseurs de services cloud et Internet qui hébergent ces services ou transportent des informations vers et depuis eux.

Pourquoi appelle-t-on cela zéro confiance ? Évidemment, nous faisons au moins un peu confiance à certains de ces fournisseurs de services cloud et Internet (sinon nous n'utiliserions pas leurs services). Mais il y a quelques mises en garde à cette confiance : nous ne savons peut-être même pas que nous utilisons certains fournisseurs (imaginez que notre service de messagerie a des sous-contrats pour les trajets entre les villes que nous ignorons) et d'autres encore, nous n'avons peut-être pas d'autre choix que de utilisation (c'est-à-dire que votre fournisseur d'accès Internet local peut avoir un monopole). Même lorsque nous avons un certain degré de confiance dans un fournisseur, nous ne contrôlons pas ou ne comprenons pas pleinement ses processus internes, et cet effet de boîte noire devrait nous laisser avec quelques inquiétudes. En repensant à notre analogie avec le service de messagerie, voici quelques « menaces » qui pourraient survenir :

1. Quelqu'un au cours du traitement de notre document par le service de messagerie le lit et prend connaissance d'informations confidentielles. Ils pourraient le faire pour leur propre bénéfice (délit d'initié, peut-être) ou pour quelqu'un d'autre (espionnage d'entreprise).
2. Quelqu'un au cours de la gestion de notre document par le service de messagerie apporte une modification néfaste au document qui modifie son intention ou son effet. Par exemple, si le document contient des instructions pour envoyer de l'argent quelque part, ils modifient ces instructions pour inclure leur propre compte bancaire comme destination.
3. Quelqu'un qui sait que nous utilisons ce service de messagerie envoie un message par son intermédiaire à votre collègue prétendant provenir de vous (ou d'un autre collègue) et l'oblige à agir. En d'autres termes, un con classique (mais peut-être plus sophistiqué).

Les deux premières préoccupations ont des mesures d'atténuation assez simples. Dans notre analogie avec le service de messagerie, si le document contient quelque chose de confidentiel ou de sensible, nous pourrions soit sceller notre document d'une manière qui révélerait une falsification, soit écrire le document dans une sorte de code. Nous savons comment faire ces deux choses avec des documents physiques depuis l'Antiquité, et l'une ou l'autre de ces tactiques ou les deux rendent beaucoup plus difficile la lecture ou la modification du document pendant qu'il est en transit sans que le destinataire ne s'en aperçoive. Ces idées se traduisent également facilement en sécurité informatique : le cryptage est l'équivalent de l'écriture de code et la « signature » cryptographique est l'équivalent de placer un sceau sur un document pour révéler la falsification.

Le scénario final - quelqu'un se faisant passer pour nous - est l'une des principales préoccupations du réseau Zero Trust. Dans l'analogie avec le document, notre entreprise développerait probablement des pratiques qui fourniraient une certaine protection contre cela : alerter le destinataire pour qu'il s'attende à une livraison tel jour de la part de telle ou telle personne, appeler l'expéditeur pour vérifier les détails de un document et ses instructions, signer des éléments pour créer une piste de garde, exiger une pièce d'identité avec photo à chaque extrémité pour confirmer l'expéditeur et le destinataire, etc. Certaines d'entre elles peuvent être des mesures employées par le service de messagerie lui-même pour améliorer la sécurité et augmenter notre niveau de confiance.

Dans un réseau informatique Zero Trust, nous nous appuyons sur de solides méthodes d'« authentification mutuelle ». Lorsqu'une personne se connecte à un système protégé par zéro confiance, nous ne croyons pas sur parole qu'elle est bien celle qu'elle prétend être, nous lui demandons de le prouver à l'aide de l'authentification multifacteur et nous vérifions les indicateurs suspects, tels que la connexion d'un endroit à l'autre bout du pays/du monde d'où ils travaillent normalement. Nous ne leur faisons pas non plus croire sur parole que le système auquel ils se connectent est celui qu'ils pensent être, le système fournit une "preuve" (généralement en utilisant quelque chose appelé un certificat) pour montrer à l'utilisateur qu'il s'agit du bon système. Cela se produit généralement de manière "transparente", ce qui signifie que l'utilisateur n'est averti que si quelque chose ne va pas. Nous suivons un processus similaire lorsque les systèmes se parlent, obligeant chacun à prouver à l'autre son identité (encore une fois, à l'aide de certificats). Cela nous donne l'assurance que personne n'est assis entre ces deux systèmes en train de lire et/ou de modifier les informations qui circulent entre eux.

Limites de confiance zéro

Un bon résumé de la confiance zéro pourrait être ceci : chiffrez et signez tout, authentifiez fortement tout le monde. Il en résulte un réseau extrêmement résistant aux tentatives d'acteurs malveillants externes d'utiliser nos « services de messagerie » contre nous. Cette architecture Zero Trust n'est pas infaillible (étant donné qu'un adversaire a suffisamment de temps et de détermination et qu'il finira par trouver un moyen d'entrer), mais elle est très robuste contre la plupart des attaques externes.

Cela s'accompagne d'un inconvénient potentiel : cela peut rendre les menaces internes plus puissantes. Imaginez que votre collègue de l'autre établissement soit le mauvais acteur. Ils essaient de voler votre entreprise. Puisqu'ils connaissent très bien le processus et disposent des autorisations nécessaires pour initier une transaction, ils peuvent utiliser vos propres processus internes contre vous. Compte tenu de toutes les garanties que vous avez mises en place, lorsque vous recevez leur message, vous avez une grande confiance qu'il est authentique (comme, en effet, il l'est ; c'est juste aussi néfaste). Ainsi, tant que la demande n'est pas manifestement de nature malveillante, cette confiance peut vous rendre plus susceptible de l'approuver. En d'autres termes, le processus Zero Trust peut en fait donner de la crédibilité aux actions d'un initié malveillant en raison de toutes les cases qu'il coche en cours de route.

Du point de vue de la cybersécurité, cela nécessite ce que nous appelons une « défense en profondeur ». Nous ne nous appuyons pas seulement sur nos protections Zero Trust, nous mettons également en œuvre la séparation des tâches (également connue sous le nom de «principe du moindre privilège»), l'approbation multipartite de certaines actions et la surveillance des activités inhabituelles ou anormales (même si cela vient d'initiés). Les entreprises font également des choses similaires dans le monde physique, car chaque système a ses faiblesses, donc les superposer les uns sur les autres se traduit par une protection globale plus forte.

Pourquoi avoir zéro confiance partout ?

Ce que nous avons réalisé dans le domaine de la cybersécurité, c'est que le modèle de périmètre de « confiance raisonnable » dont nous avons parlé dans le scénario 2 ci-dessus n'existe pas vraiment. Même lorsque nous pensons que les choses sont entièrement contenues dans nos propres réseaux privés, il y a fréquemment des ouvertures dans l'armure dont nous ne sommes pas conscients (soit des choses qui ont été accidentellement ouvertes ou des choses qui ont des faiblesses que nous ne connaissons pas). Une fois ces ouvertures exploitées, le modèle basé sur le périmètre permet aux mauvais acteurs de se déchaîner très, très facilement.

De plus en plus, cependant, la plupart des choses ne sont pas contenues dans nos propres réseaux privés. Depuis des années, les entreprises déplacent de plus en plus leurs services informatiques « vers le cloud » au lieu de les gérer sur des centres de données internes. Cela commence à introduire l'effet "boîte noire" dont nous avons parlé. Ajoutez à cela les travailleurs à distance, un secteur de la main-d'œuvre qui a explosé pendant la pandémie, et vous avez plus de « boîtes noires » à craindre. De plus en plus, tout ce que fait le personnel de votre organisation passe par plusieurs réseaux que vous ne contrôlez pas et s'exécute sur une infrastructure qui ne vous appartient pas.

Le but n'est pas de dénigrer ces fournisseurs. J'espère que vous avez choisi un fournisseur de cloud auquel vous faites raisonnablement confiance. J'espère que vos fournisseurs d'accès Internet ne sont pas mauvais. Mais même dans le meilleur des cas, vous comptez sur eux. Que se passe-t-il s'ils sont violés ? Que se passe-t-il s'ils ne se rendent pas compte qu'ils ont été violés ? Zero Trust est un moyen d'atténuer non seulement les inquiétudes que vous pourriez avoir au sujet de vos fournisseurs eux-mêmes, mais également de vous protéger contre toute activité malveillante dirigée contre eux et dans laquelle vous pourriez être pris au milieu. Combiné à une défense en profondeur, il crée une posture de sécurité très robuste.

Résumé

Les architectures de réseau Zero Trust sont motivées par l'effet de « boîte noire » de s'appuyer sur des fournisseurs que vous ne contrôlez pas (c'est-à-dire des services cloud ou l'Internet public). Parce que nous manquons de visibilité et de contrôle sur ces services, nous ne pouvons pas savoir qui pourrait lire ou interférer avec nos activités. Pour nous protéger contre cela, nous mettons en œuvre une combinaison de chiffrement (transmettant notre activité en code), de signature cryptographique (nous permettant de détecter la falsification) et de mécanismes robustes pour vérifier mutuellement les identités des deux parties dans une interaction virtuelle. Cela nous donne une très grande confiance dans le fait que l'activité sur notre réseau est "authentique", offrant une sécurité robuste contre tous les attaquants externes, sauf les plus déterminés. Cette confiance pourraitêtre exploités par des menaces internes, nous avons donc encore besoin d'autres mesures de sécurité - surtout le principe du moindre privilège et la surveillance des comportements inhabituels - pour compléter notre posture de sécurité.