Qu’est-ce que la confiance zéro et pourquoi est-elle importante ? Quels sont les trois composants essentiels de la confiance zéro ?
La confiance zéro est plus qu’un simple mot à la mode dans le domaine de la cybersécurité. Avec les attaques d’ingénierie sociale exploitant des mots de passe compromis et la technologie d’authentification multifactorielle (MFA) qui a réussi à compromettre de nombreuses grandes entreprises, la nécessité de la confiance zéro est plus évidente que jamais.
Qu’est-ce que la confiance zéro ?
La confiance zéro désigne un ensemble de principes qui régissent la manière dont les cyberprofessionnels conçoivent et mettent en œuvre les systèmes ainsi que l’authentification de l’accès et des privilèges des utilisateurs à ces systèmes, et la manière dont nous pensons tous à la sécurité.
Par ordre du Président
La conversation autour de la confiance zéro s’accélère, alors que de nouveaux paradigmes de cybersécurité sont définis et adoptés aux plus hauts niveaux du gouvernement. En 2021, l’administration Biden a publié un décret demandant au gouvernement américain d’instaurer des « changements audacieux et des investissements importants » dans les mesures de sécurité afin de mieux protéger les réseaux fédéraux contre les attaques. Le Bureau de la gestion et du budget de la Maison Blanche a ensuite défini une « stratégie de confiance zéro », décrivant l’architecture de sécurité qui répondrait au décret de refonte des pratiques fédérales en matière de cybersécurité.
Le gouvernement américain a exigé que l’authentification comprenne désormais deux composantes : l’authentification du dispositif et l’authentification de l’identité.
« Lorsqu’ils autorisent des utilisateurs à accéder à des ressources, les organismes doivent prendre en compte au moins un signal au niveau du dispositif en plus des informations d’identité de l’utilisateur authentifié », selon l’OMB.
Il est important de reconnaître que cette exigence entraîne un nouveau paradigme pour les professionnels de la sécurité. Elle souligne que les solutions sans mot de passe ne suffisent pas à elles seules pour atteindre la confiance zéro, et que l’authentification de l’identité doit aller de pair. Compte tenu de ces mandats, la confiance zéro est susceptible d’entraîner des changements majeurs dans la manière dont toutes les organisations structurent les réseaux et authentifient leur personnel, leurs fournisseurs tiers et leurs clients.
Tout ceci établit l’importance de la confiance zéro. Mais qu’est-ce que la est c’est, exactement ?
Définitions de la confiance zéro
Selon le National Institute for Standards and Technology (NIST), « la confiance zéro est le terme désignant un ensemble évolutif de paradigmes de cybersécurité qui déplacent les défenses des périmètres statiques, basés sur le réseau, pour se concentrer sur les utilisateurs, les actifs et les ressources ».
Tout le trafic est hostile et ne permet pas d’accorder une confiance implicite aux ressources ou aux utilisateurs.
Aussi, selon le NIST : « La confiance zéro se concentre sur la protection des ressources (actifs, services, flux de travail, comptes réseau, etc.), et non des segments de réseau, car l’emplacement du réseau n’est plus considéré comme le composant principal de la posture de sécurité de la ressource. »
Pour résumer la confiance zéro en quelques mots, elle :
- Exige que les utilisateurs et les dispositifs soient authentifiés. avant de se connecter ou d’accéder à une ressource d’entreprise afin de protéger la ressource contre un accès non autorisé.
- Ne part pas du principe que tout ce qui a accès à un environnement doit avoir accès à tout ce qui se trouve dans cet environnement, comme c’est souvent le cas dans les environnements de réseau traditionnels.
- Se concentre sur les ressources individuelles et les petits groupes de ressources et sur le contrôle granulaire de leur accès par rapport à la défense d’un large périmètre de réseau.
La confiance zéro s’oppose à ce que Forrester Consulting a noté comme étant un vieux dicton dans la sécurité de l’information, « Nous voulons que notre réseau soit comme un M&M, avec un extérieur dur et croustillant et un centre tendre et moelleux. »
Dans le passé, les équipes de sécurité se concentraient sur la protection du « périmètre », c’est-à-dire la protection de l’accès aux réseaux d’entreprise fiables en mettant en place des contrôles d’accès tels que les CASB et les VPN. Cependant, avec cette méthodologie, des failles de sécurité et des vulnérabilités d’authentification exploitant les mots de passe et la confiance transitoire apparaissent toujours. Une approche de confiance zéro centralise les mécanismes d’accès et accorde l’accès en fonction du risque et de la fiabilité de l’utilisateur et du dispositif, ce qui permet d’obtenir un environnement plus sûr et plus résilient.
Avec la confiance zéro, il n’y a plus de « centre à croquer » où les utilisateurs peuvent se déplacer librement, et l’authentification basée sur le dispositif ne suffit pas.
Composants de la confiance zéro
Forrester Consulting a inventé ce terme en 2009 et a publié sept domaines opérationnels de l’architecture de confiance zéro.
Depuis les sept piliers de Forrester, le NIST a établi que l’architecture de confiance zéro comprend les composants de base suivants :
- Le Policy Enforcement Point est la passerelle d’accès sécurisé aux ressources de l’entreprise, et est responsable de l’activation, de la surveillance et de la fin des connexions entre les utilisateurs, les appareils et les données de l’entreprise.
- Le moteur de politique décide d’accorder ou non l’accès aux ressources de l’entreprise en fonction des politiques définies par l’équipe de sécurité de l’entreprise.
- L’administrateur de politiques est chargé d’exécuter les décisions d’accès prises par le moteur de politiques ; ce composant autorise ou refuse la communication entre un utilisateur et une ressource protégée.
Pourquoi la confiance zéro est-elle importante pour les organisations ?
La confiance zéro a été développée en réponse aux nouvelles réalités de notre monde numérique. Les entreprises doivent relever le défi de l’authentification des employés dans l’économie hybride/à distance d’aujourd’hui. Gartner prévoit qu’environ 51 % des travailleurs du savoir seront à distance d’ici à la fin 2021 et une étude de Microsoft a révélé que 67 % des employés apportent leur propre appareil.
La confiance zéro s’adapte à ces réalités modernes du réseau, y compris les utilisateurs distants, le BYOD et les actifs basés sur le cloud qui ne sont pas situés dans les limites d’un réseau appartenant à l’entreprise.
Menace de l’initié
Une approche de la sécurité axée sur le périmètre ne permet pas de lutter contre les menaces internes, qui constituent l’une des sources les plus importantes de violations aujourd’hui.
Les incidents liés aux menaces d’initiés ont augmenté de 47 % entre 2018 et 2020, selon le rapport Verizon 2021 sur les enquêtes relatives aux violations de données. Selon le Ponemon Institute, en 2020, le coût moyen mondial d’une menace d’initié était de 11,45 millions de dollars, tandis que le coût moyen d’une violation de données sur la même période était de 3,86 millions de dollars.
Les attaques d’ingénierie sociale exploitant les anciennes technologies d’authentification multifactorielle (MFA) ont réussi à compromettre Twilio, Cisco, Intuit et d’autres entreprises cette année. Sur les 4 110 brèches étudiées dans le Verizon DBIR 2022, la compromission des informations d’identification due à une erreur d’initié était la cause première de 82 % des brèches.
Le rôle de l’authentification forte
Puisqu’un modèle de confiance zéro suppose qu’un réseau est toujours susceptible d’être exposé à des menaces et exige que tous les utilisateurs et tous les dispositifs soient authentifiés et autorisés, l’authentification joue un rôle énorme dans un écosystème de confiance zéro. L’architecture de confiance zéro est centrée sur l’identité et les données, l’objectif de la mise en œuvre étant de protéger l’accès aux données par des identités spécifiques et autorisées de manière dynamique. L’authentification des utilisateurs et des dispositifs est au cœur de l’architecture de confiance zéro, car leur vérification empêche tout accès non autorisé aux réseaux, aux applications et aux bases de données. La mise en œuvre d’une architecture de confiance zéro repose nécessairement sur la mise en place de plusieurs points d’authentification et nécessite de demander aux utilisateurs de s’authentifier de différentes manières, encore et encore. Sans la mise en place de protocoles d’authentification forts pour confirmer l’identité de l’utilisateur et du dispositif demandant l’accès, les équipes de sécurité ne peuvent pas empêcher l’accès non autorisé aux ressources.
Le rôle de l’AMF dans l’authentification
Parce que l’AMF touche à de nombreux éléments de la confiance zéro – l’AMF est utilisée pour authentifier l’accès à un environnement ou les privilèges au sein d’un environnement, ou comme méthode de récupération de compte lorsqu’un acteur de menace potentielle se trouve sur un réseau – une AMF insuffisante peut faire dérailler même les plans les mieux conçus pour une architecture de confiance zéro.
Les méthodes d’authentification multifactorielle sont devenues omniprésentes et ont renforcé la sécurité. Mais la plupart des MFA mises en œuvre sont basées sur quelques facteurs :
- Quelque chose que vous connaissez (facteur de connaissance), comme des mots de passe, des codes PIN et des réponses à des questions de sécurité personnelles, ou
- Quelque chose que vous avez (facteur de possession), comme les appareils mobiles, les jetons physiques, les porte-clés et les cartes à puce.
L’AMF traditionnelle fait confiance au destinataire d’un code, à la connaissance de l’utilisateur ou au détenteur d’un appareil. Ces types de MFA peuvent donc être vulnérables et faciles à usurper car ils n’authentifient pas réellement l’utilisateur derrière le dispositif. La plupart des authentificateurs basés sur des dispositifs ne nécessitent pas de biométrie « en direct » pour l’authentification de l’identité et de l’accès de l’utilisateur.
En outre, les MFA traditionnelles peuvent poser des problèmes d’administration, tels que la récupération des comptes, les verrouillages et les frictions supplémentaires dans le processus d’authentification.
Le pire, c’est que la plupart des solutions MFA existantes ne répondent pas aux normes minimales actuelles promulguées par l’OMB, qui a noté que la vérification par SMS ne suffit pas et qu’une MFA résistant au phishing est nécessaire pour les agences et leurs partenaires.
L’OMB a également exigé que « lorsqu’ils autorisent des utilisateurs à accéder à des ressources, les organismes doivent prendre en compte au moins un signal au niveau de l’appareil en plus des informations d’identité de l’utilisateur authentifié. » Cette directive particulière exige que les organismes pensent à l’authentification forte en deux parties : l’authentification du dispositif et, séparément, l’authentification de l’identité de l’utilisateur.
Solutions de haute sécurité
L’adoption de la confiance zéro nécessite des solutions d’authentification à l’échelle de l’entreprise qui peuvent être mises en œuvre et utilisées facilement. Les méthodes d’authentification biométriques constituent l’une de ces solutions. Plutôt que de s’appuyer sur des facteurs de connaissance ou de possession, la biométrie utilise des facteurs humains, tels que le visage, la voix et les empreintes digitales. Grâce à la biométrie, des fonctions de sécurité supplémentaires, comme la détection de présence, peuvent renforcer l’assurance qu’une personne vivante demande l’accès.
La biométrie, qu’elle soit basée sur des appareils ou sur le cloud, joue également un rôle important dans la mise en place d’un MFA résistant au phishing, comme l’exige l’OMB. Comme nous l’ont appris les récentes violations de données, la vulnérabilité humaine est très ciblée et facilement exploitée par le biais du phishing, du smishing et d’autres attaques d’ingénierie sociale. L’AMF non résistante à l’hameçonnage laisse les organisations extrêmement vulnérables et réduit considérablement l’efficacité et la capacité d’utilisation du cadre de confiance zéro. Comme l’a noté l’OMB, la norme de vérification d’identité personnelle (PIV) du gouvernement fédéral est une approche efficace de la MFA résistante à l’hameçonnage, et la norme ouverte « Web Authentication » du World Wide Web Consortium (W3C) en est une autre.
Parmi ces solutions, cependant, la mise en œuvre d’une authentification sans mot de passe conforme à la norme FIDO2 dans les couches IAM et PAM pourrait être la plus transparente. À l’entrée, les utilisateurs se connectent avec FIDO2 pour fournir une MFA forte, résistante au phishing et fonctionnant sur l’appareil d’origine de l’utilisateur. Une fois que l’utilisateur a passé la porte d’entrée, l’organisation peut définir des politiques basées sur les ressources auxquelles l’utilisateur accède et qui demandent des niveaux plus élevés de confirmation d’identité, comme l’authentification biométrique dans le nuage. Ainsi, lorsque les composants de contrôle demandent une authentification, les niveaux d’assurance sont élevés au-delà de ce qui a été utilisé à l’entrée.
La mise en œuvre d’une authentification biométrique de niveau entreprise présente plusieurs avantages pour un environnement de confiance zéro.
- L’authentification biométrique se situe entre la « zone de non confiance » – la zone avant la connexion et la « zone de confiance implicite » – la zone où tous les utilisateurs sont supposés être dignes de confiance, derrière la connexion. Des solutions en temps réel peuvent être invoquées chaque fois que cela est nécessaire, et la « zone de confiance implicite » peut être réduite à ce que l’organisation décide.
- Idéalement, les solutions d’authentification d’entreprise interdisent toute connexion à une ressource lorsque l’utilisateur échoue à la vérification biométrique.
- Les solutions d’authentification doivent prendre en charge l’accès conditionnel avec des politiques d’accès basées sur les rôles et la possibilité d’être invoquées en fonction de l’acceptation du risque organisationnel.
Ces technologies peuvent être mises en œuvre à tout moment du parcours de l’utilisateur pour supprimer la confiance transitoire entre les applications et les sessions de connexion. La biométrie offre également un degré d’homogénéité et de facilité d’utilisation qui ne peut être égalé par des facteurs basés sur la connaissance ou la possession.
La route vers la confiance zéro
Malgré les avantages connus de l’adoption de paradigmes de confiance zéro, le chemin vers sa mise en œuvre peut être semé d’embûches.
Les systèmes hérités sont souvent construits sur un modèle de confiance implicite, permettant à ceux qui ont accès aux environnements numériques d’avoir accès à toutes les données et ressources sans authentification supplémentaire. Le coût de reconstruction ou de remplacement de l’infrastructure informatique pour passer entièrement d’un modèle de confiance implicite à un modèle de confiance zéro peut être prohibitif pour certaines organisations.
Enfin, la confiance zéro est encore un concept en évolution. Alors que le gouvernement et des organisations comme Forrester Consulting ont promulgué des normes, il n’y a pas de consensus autour de l’adoption d’un modèle de maturité. Les organisations doivent garder à l’esprit que la confiance ne doit pas seulement être appliquée au périmètre, mais qu’elle doit également être gérée lorsque les utilisateurs tentent d’accéder à des applications ou à des ressources privilégiées. Avec la confiance zéro, il n’y a plus de « centre à croquer » où les utilisateurs peuvent se déplacer librement, et l’authentification basée sur les appareils ne suffit pas.
Les organisations doivent s’engager à renforcer leur sécurité avec une authentification forte qui inclut l’authentification des appareils associée à une assurance d’identité qui les aidera à accélérer leur voyage vers la confiance zéro.
Tom Thimot est PDG de la solution d’authentification d’identité authID.
Voir aussi :
Gestion de l’API pour la protection des points de terminaison sans confiance Andy James, partenaire associé chez Cluster Reply, et Gordan Milinkovic, partenaire chez Spike Reply, ont parlé à Datarmine de l’importance de la gestion des API pour la protection des points de terminaison de confiance zéro.
La confiance numérique : pourquoi la confiance zéro doit être repensée. David Mahdi, directeur de la stratégie et conseiller CISO chez Sectigo, évoque le rôle important de la confiance numérique dans la stratégie de sécurité.
Confiance zéro : les cinq raisons pour lesquelles les DSI devraient s’en soucier – Il n’est pas étonnant que l’approche de la « confiance zéro » ait attiré l’attention de nombreux DSI, mais si vous n’êtes toujours pas convaincu, voici quelques raisons pour lesquelles vous devriez vous y intéresser.