Le Zero Trust Network Access (ZTNA) est un cadre de sécurité informatique conçu pour protéger les applications d'entreprise, les ressources cloud et les réseaux sans fil. Fonctionnant selon le principe fondamental de "ne jamais faire confiance, toujours vérifier", le ZTNA remplace les modèles traditionnels de sécurité basés sur le périmètre. Dans un environnement de travail hybride où les collaborateurs se connectent depuis les bureaux de l'entreprise, des sites distants et leurs réseaux domestiques, supposer que le trafic réseau interne est implicitement sûr crée une exposition de sécurité inacceptable.
La sécurité traditionnelle de type "château fort" s'appuie sur des pare-feux et des réseaux privés virtuels (VPN) pour maintenir les utilisateurs non autorisés en dehors des limites du réseau. Cependant, une fois qu'un utilisateur ou un appareil a franchi la passerelle périphérique, les réseaux existants accordent un accès étendu à l'ensemble des sous-réseaux internes. Le ZTNA élimine la confiance implicite en vérifiant l'identité de l'utilisateur, l'état de sécurité de l'appareil et le contexte avant d'accorder l'accès à des applications spécifiques, session par session.
Pourquoi la sécurité VPN traditionnelle échoue face aux réseaux d'entreprise modernes
Pendant des décennies, les équipes informatiques des entreprises se sont appuyées sur des VPN d'entreprise pour permettre l'accès à distance. Un VPN établit un tunnel chiffré entre un appareil client et le réseau interne. Bien que le chiffrement protège les données en transit, le défaut architectural sous-jacent d'un VPN réside dans sa large exposition du réseau.
Une fois qu'un utilisateur s'authentifie sur un VPN traditionnel, son appareil devient un nœud virtuel sur le réseau de l'entreprise. Si un acteur malveillant capture des identifiants VPN par hameçonnage ou compromet un point de terminaison non corrigé, il obtient une visibilité illimitée sur les serveurs internes, les référentiels de bases de données et le matériel connecté.
Ce risque de mouvement latéral représente une faiblesse critique dans la cybersécurité des entreprises. Les attaquants qui obtiennent un accès initial via un identifiant compromis peuvent analyser les sous-réseaux internes, exécuter du code à distance et déployer des rançongiciels sur les systèmes connectés. De plus, le fait de rediriger le trafic des utilisateurs distants via des concentrateurs VPN centraux crée de graves goulots d'étranglement de la bande passante et dégrade les performances des applications.
Comparaison des VPN traditionnels avec le Zero Trust Network Access (ZTNA)
La transition d'une sécurité périmétrique existante vers le ZTNA nécessite d'évaluer les différences architecturales en matière d'authentification, d'accès réseau et de confinement des risques :
Les trois piliers fondamentaux de l'architecture Zero Trust
La mise en œuvre du Zero Trust Network Access exige l'adoption de trois piliers architecturaux fondamentaux définis par des cadres de cybersécurité tels que le NIST SP 800-207 :
1. Vérifier explicitement
Chaque tentative d'accès doit être explicitement authentifiée et autorisée à l'aide de tous les points de données disponibles avant que l'accès ne soit accordé. Plutôt que de s'appuyer sur l'emplacement réseau ou l'adresse IP, ZTNA évalue les signaux d'identité en temps réel, notamment les identifiants de l'utilisateur, l'authentification multifacteur (MFA), l'état de santé de l'appareil client, le niveau de correctif du système d'exploitation, l'emplacement géographique et la détection d'anomalies.
Pour les environnements sans fil, la vérification explicite est obtenue en combinant l'authentification par certificat 802.1X avec des serveurs RADIUS. Pour comprendre comment l'identité basée sur les certificats fonctionne sur l'infrastructure sans fil, lisez notre guide sur les avantages de l'authentification 802.1X .
2. Appliquer l'accès au moindre privilège
L'accès au moindre privilège limite les permissions des utilisateurs strictement aux applications et ressources spécifiques requises pour accomplir leur tâche immédiate. ZTNA accorde des tunnels d'accès par application plutôt qu'une connectivité au niveau du réseau. Un représentant du support client, par exemple, se voit accorder l'accès au système CRM mais reste complètement isolé des bases de données financières, des référentiels d'ingénierie et des segments de réseau administratifs.
L'application du moindre privilège minimise la zone d'impact de toute violation d'identifiants. Même si un adversaire compromet un compte autorisé, la microsegmentation l'empêche de scanner les ressources réseau adjacentes ou d'élever ses privilèges.
3. Partir du principe d'une brèche
Opérer en partant du principe d'une brèche signifie concevoir des contrôles réseau sous l'hypothèse que des éléments adverses existent déjà au sein de l'environnement. Plutôt que de s'appuyer uniquement sur des défenses périphériques externes, les contrôles de sécurité sont construits de l'intérieur vers l'extérieur.
Partir du principe qu'une faille a eu lieu nécessite une surveillance continue des menaces, un chiffrement de bout en bout du trafic réseau interne et une fin de session automatisée en cas de détection d'un comportement suspect. Les administrateurs réseau structurent des zones isolées au sein des installations de l'entreprise. Pour découvrir les stratégies de configuration des politiques de contrôle d'accès, explorez notre analyse des solutions de contrôle d'accès au réseau .
Appliquer les principes du Zero Trust aux réseaux WiFi d'entreprise
Les réseaux sans fil représentent un périmètre clé au sein des installations physiques. Les réseaux équipés de clés pré-partagées standard (WPA2/WPA3-Personal) utilisent un mot de passe unique partagé sur l'ensemble des appareils connectés. Si un collaborateur quitte l'entreprise ou qu'un ordinateur portable est égaré, le mot de passe partagé est compromis pour l'ensemble de l'organisation.
L'application du ZTNA aux infrastructures sans fil implique le remplacement des mots de passe statiques par des contrôles d'accès basés sur l'identité :
- Authentification par certificat 802.1X EAP-TLS : Délivre des certificats numériques cryptographiques uniques aux terminaux d'entreprise gérés. Les appareils se connectent sans mot de passe tandis que RADIUS valide le statut du certificat en temps réel par rapport à Microsoft Entra ID, Okta ou Google Workspace. Déployez des profils de certificats en toute transparence à l'aide de notre guide de déploiement de certificats Microsoft Intune .
- Clés pré-partagées basées sur l'identité ( iPSK ) : Attribue des phrases de passe uniques et individuelles aux terminaux non gérés, aux appareils BYOD et aux équipements IoT. Chaque phrase de passe est directement associée à l'identité d'un utilisateur ou d'un appareil spécifique et oriente le trafic vers des segments VLAN dédiés. Pour en savoir plus, consultez notre guide complet sur la sécurité iPSK .
- Réseaux WiFi invités isolés : Sépare entièrement le trafic des visiteurs des ressources de l'entreprise à l'aide de VLAN isolés, de l'isolation des clients et de portails captifs authentifiés. Découvrez les meilleures pratiques de sécurité pour les invités dans notre guide du WiFi invité .
Connecter le ZTNA avec Cloud RADIUS et les fournisseurs d'identité cloud
Les déploiements 802.1X existants nécessitaient des contrôleurs de domaine Active Directory sur site et du matériel Network Policy Server (NPS) complexes. Les plateformes ZTNA modernes s'appuient sur l'architecture Cloud RADIUS pour offrir une authentification haute disponibilité directement depuis les fournisseurs d'identité cloud.
Cloud RADIUS se connecte aux annuaires cloud via des protocoles OAuth et SCIM sécurisés. Lorsqu'un appareil demande l'accès au réseau, Cloud RADIUS vérifie le statut du compte, les adhésions aux groupes et les politiques de sécurité en temps réel. Lorsqu'un employé est retiré de votre fournisseur d'identité, l'accès au réseau est révoqué immédiatement dans tous les sites de l'entreprise, éliminant ainsi les changements manuels de phrases secrètes.
Foire aux questions sur le Zero Trust Network Access
Qu'est-ce que le Zero Trust Network Access (ZTNA) ?
Le Zero Trust Network Access (ZTNA) est un cadre de sécurité informatique qui impose une vérification stricte de l'identité, l'évaluation de la santé des appareils et des contrôles d'accès au moindre privilège pour chaque demande de connexion, en partant du principe qu'aucun utilisateur ou appareil à l'intérieur ou à l'extérieur du réseau ne bénéficie d'une confiance implicite.
En quoi le ZTNA diffère-t-il d'un VPN traditionnel ?
Un VPN traditionnel accorde un large accès au niveau du réseau à un sous-réseau entier une fois authentifié, permettant un mouvement latéral à travers les systèmes internes. ZTNA crée des micro-tunnels sécurisés et chiffrés uniquement vers des applications autorisées individuelles, bloquant la visibilité sur les ressources réseau adjacentes.
Le Zero Trust peut-il être appliqué aux réseaux WiFi d'entreprise ?
Oui. Les principes du Zero Trust s'appliquent directement au WiFi d'entreprise en remplaçant les phrases de passe partagées statiques par des certificats numériques 802.1X EAP-TLS, l'authentification Cloud RADIUS, l'isolation de segments iPSK et la synchronisation automatisée des annuaires d'identités cloud.
Comment le Zero Trust empêche-t-il le mouvement latéral des menaces lors d'une faille de sécurité ?
Le Zero Trust empêche le mouvement latéral grâce à la microsegmentation et aux limites d'accès par application. Même si un adversaire compromet un identifiant d'utilisateur ou un appareil final, il ne peut pas analyser les sous-réseaux adjacents ni accéder à des applications internes non autorisées.
Implémentez le Zero Trust Network Access sur l'ensemble de votre WiFi d'entreprise
Connectez directement vos points d'accès sans fil à la plateforme Cloud RADIUS de Purple. Offrez une authentification par certificat 802.1X sans mot de passe, une isolation des appareils par iPSK et une synchronisation automatisée des identités cloud sur tous vos sites.
