Éléments de sécurité importants à rechercher dans un VPN

La sécurité des VPN

1- Considérations générales de sécurité d’un VPN

Voici les conseils de sécurité général que l’on peut donner dans le cadre du déploiement d’un VPN.

Si vous êtes intéressé pour connaître les différents types de VPN existants, nous vous renvoyons à notre page sur le sujet.

1. Les connexions VPN peuvent être renforcées par l’utilisation d’un pare-feu (ici la définition d’un pare-feu sur le site assiste.com). Une détection d’intrusion (IDS) est recommandée afin de mieux surveiller les attaques.
2. Un logiciel antivirus doit être installé sur l’ordinateur du client et les serveurs réseau pour prévenir la propagation de tout virus, dans l’une ou l’autre direction.
3. Les systèmes non sécurisés ou non gérés avec authentification ne doivent pas être autorisés à établir des connexions VPN vers le réseau.
4. Des fonctions d’enregistrement doivent être fournies pour enregistrer les tentatives d’accès non autorisées. Le journal de cet historique doit être examiné régulièrement.
5. Une formation doit être dispensée aux administrateurs réseau et aux responsables pour mettre en œuvre une politique de sécurité, ainsi qu’aux utilisateurs distants pour s’assurer qu’ils respectent au mieux les règles de prévention. De même, la politique de sécurité sur l’utilisation appropriée du VPN doit être distribuée aux parties responsables pour qu’elles contrôlent et régissent l’activités.
6. Il est recommandé de placer le point d’entrée du VPN dans une zone démilitarisée afin de protéger le réseau interne.
7. Il est conseillé de ne pas utiliser le tunnelage fractionné pour accéder à internet ou à tout autre réseau. Cela évite une connexion simultanée non sécurisée pendant une session VPN. Si ce n’est pas possible, un pare-feu et un IDS doivent être utilisés pour prévenir tout risque potentiel d’attaques provenant de réseaux non sécurisés.
8. L’accès non nécessaire au réseau interne doit être restreint et contrôlé.

2- Considérations relatives à la sécurité d’un VPN EXTRANET

Voici les considérations de sécurité supplémentaires pour le déploiement d’un VPN extranet.

→ Définition de l’extranet

Un extranet est un site internet sécurisé mis à la disposition des clients, fournisseurs ou partenaires commerciaux d’une entreprise, mais pas du grand public. Pour utiliser un extranet, le client ou le fournisseur reçoit un mot de passe ou une clé de sécurité pour accéder au portail. Considérons-le comme un sous-ensemble de l’information accessible à partir de l’intranet d’une organisation.

L’accès à un extranet est étroitement contrôlé et les utilisateurs ont besoin d’un nom d’utilisateur, d’un mot de passe et/ou d’une clé de sécurité pour se connecter. Un portail extranet ne permet aux utilisateurs d’accéder qu’à des zones spécifiques d’information. Par exemple, un cabinet comptable peut fournir un extranet aux clients afin qu’ils puissent télécharger des documents et partager des informations avec le cabinet.

Les intranets et extranets offrent aux entreprises un endroit central pour stocker et partager les informations essentielles à l’organisation et au fonctionnement de l’entreprise. Les deux permettent aux utilisateurs de collaborer plus efficacement au sein de l’entreprise.

Les différences entre intranet et extranet sont plus subtiles pour un utilisateur moyen. Un intranet n’est accessible que par l’intermédiaire d’un serveur interne – en d’autres termes, un employé doit être sur place pour avoir accès à l’intranet de l’entreprise. Un extranet est accessible aux employés ou aux autres utilisateurs autorisés partout dans le monde, pourvu qu’ils aient un nom d’utilisateur et un mot de passe. Les utilisateurs de l’extranet accèdent généralement au portail de l’entreprise via un réseau privé virtuel (VPN). Un VPN crée un moyen sécurisé et crypté pour l’entreprise et ses utilisateurs autorisés de partager des données même si les utilisateurs accèdent à l’extranet depuis l’internet public.

Un extranet nécessite sécurité et confidentialité. Il peut s’agir de la gestion des serveurs de pare-feu, de l’utilisation de certificats numériques, du chiffrement des messages et de l’utilisation de réseaux privés virtuels (VPN).

Les entreprises peuvent utiliser un extranet pour échanger de gros volumes de données, partager un catalogue de produits exclusivement avec les grossistes, collaborer avec d’autres entreprises dans le cadre d’efforts de développement conjoints, élaborer des programmes de formation avec d’autres entreprises, fournir des services à d’autres sociétés, ou tout simplement partager des actualités avec des entreprises partenaires.

→ Comment sécuriser un VPN dans le cadre de l’utilisation d’un extranet

1. Des mécanismes d’authentification forte doivent être appliqués pour les utilisateurs.
2. Le point d’entrée du VPN doit être placé à l’intérieur d’une zone démilitarisée.
3. Les droits d’accès doivent être accordés en fonction de besoins strictement nécessaires.
4. Les propriétaires de ces ressources doivent examiner régulièrement les autorisations d’accès.

3- Considérations de sécurité du VPN côté client

Quelles sont les considérations générales de sécurité pour les utilisateurs du VPN ?

1. Une authentification forte est requise lorsque les utilisateurs se connectent dynamiquement à partir de des réseaux disparates non fiables. C’est le cas par exemple s’ils se connectent au moyen de certificats, de cartes à puce ou de jetons. Une carte à puce est utilisée pour stocker un profil d’utilisateur, des clés de cryptage et des informations de sécurité. Une carte jeton fournit un mot de passe à usage unique. Lorsque l’utilisateur s’authentifie correctement sur le jeton en entrant le bon code PIN, la carte affiche un code d’accès unique qui permet d’accéder à la fonction réseau.
2. Des pare-feu personnels doivent être installés et configurés correctement sur le VPN client. La plupart des VPN récents contiennent nativement des pare-feu. Certains interdisent au client de se connecter si un logiciel antivirus ne fonctionne pas, ou si les signatures virus sont périmées.
3. L’ordinateur du client doit être équipé d’un logiciel anti-virus, avec les dernières mises à jour, pour détecter et prévenir les infections virales.
4. L’utilisateur doit mettre à jour la sécurité physique de sa machine, en particulier lorsque des informations d’authentification sont stockées sur sa machine.
5. Tous les utilisateurs doivent être sensibilisés aux bonnes pratiques de sécurité sur internet (ici un début de piste avec nos 10 conseils pratiques). Un accès à partir d’un domicile doit être considéré comme un canal non sécurisé, le trafic étant acheminé via le canal internet.

4- Caractéristiques de sécurité communes à tous les VPN

Voici les 13 caractéristiques de sécurité à rechercher lors du choix d’un produit VPN :

Conclusion

Le VPN fournit un moyen d’accéder à un réseau interne privé et sécurisé à partir de réseaux publics non sécurisés comme internet.

Un certain nombre de technologies VPN existent, parmi lesquelles IPsec et SSL VPN (→ lire plus en détail notre définition d’IPsec).

Même si un VPN permet d’ouvrir et de tunneliser un canal de communication sécurisé à partir d’un réseau non sécurisé, la sécurité côté client ne doit jamais être négligée.

D’autres moyens d’anonymiser internet existent (ici notre liste des différents moyens existants pour changer d’adresse IP), mais un VPN reste l’unique moyen de chiffrer en plus votre connexion.