Accès VPN des clients : donnez au travail privilégié son propre appareil

Le profil de connexion indique Production, le tunnel monte, et chaque fenêtre du bureau peut désormais atteindre les systèmes du client. Rien dans cette séquence n’a séparé la session privilégiée de l’onglet de navigateur voisin. Un profil VPN, c’est un nom et un ensemble de routes ; la frontière qui vous importe vraiment se construit à partir de l’identité de l’appareil, d’un environnement d’exécution maîtrisé et d’un chemin pour les identifiants. Ces trois éléments s’appliquent à des endroits différents, et c’est pourquoi en ajouter un et ignorer les autres produit une conception qui paraît conforme sans l’être.

Un nom de profil n’est pas une frontière

Le client applique les routes et la configuration DNS lorsque le tunnel monte, et tout ce qui s’exécute ensuite sur cette machine hérite des deux.

Un nom dans une liste déroulante change ce qu’un opérateur reconnaît, pas ce que le système d’exploitation autorise.

L’identité de l’appareil, voilà ce que la passerelle peut vérifier

Une passerelle qui prend en charge les certificats d’appareil ou les contrôles de posture authentifie la machine autant que la personne. C’est la couche qui peut refuser une connexion depuis un portable non géré avant que quiconque tape un mot de passe. Elle vous donne aussi quelque chose de concret à révoquer lorsqu’un appareil est perdu. Copier un certificat sur trois machines supprime exactement cette propriété, et c’est pourquoi le cycle de vie du certificat relève de l’accord plutôt que d’un dossier partagé.

Le client décide lesquels de ces contrôles sa politique exige, et une machine virtuelle construite par un fournisseur peut ne pas satisfaire du tout un contrôle de posture.

Où la frontière d’une machine virtuelle fuit

Une machine virtuelle garde ensemble les outils du client et l’état du réseau, et c’est réellement utile. Elle dépend aussi de son hôte et de l’hyperviseur, et plusieurs commodités franchissent la ligne : dossiers partagés, intégration du presse-papiers, agents d’identifiants et accès d’administration au niveau de l’hôte. Un invité privilégié sur un hôte utilisé au quotidien n’est pas fiable de manière indépendante, car l’hôte peut observer ce que fait l’invité. Traitez la machine virtuelle comme un contrôle qui réduit l’exposition, non comme un domaine de sécurité distinct.

Un appareil physique dédié supprime la dépendance à l’hôte et ajoute à sa place une obligation de maintenance.

Identifiants et chemins de transfert

Utilisez des identités individuelles et révocables par ingénieur et par client, et gardez-les hors des profils de navigateur personnels et de l’historique de discussion. Des identifiants partagés par toute une équipe ne peuvent être attribués, renouvelés ou révoqués proprement. Décidez du chemin de transfert des outils, des fichiers et de la sortie de diagnostic avant la première session, car le déplacement improvisé de fichiers est la façon dont une frontière cesse discrètement d’en être une. S’il faut atteindre deux clients en même temps, faites approuver d’abord la séparation du réseau et de l’identité.

Ne pontez jamais deux réseaux clients à travers un seul poste de travail simplement parce que c’était commode cet après-midi-là.

L’accord qui rend la chose reproductible

Écrivez une fiche courte par client et conservez-la là où les deux parties peuvent la trouver. Elle doit nommer l’appareil ou l’environnement distant approuvé et qui l’entretient, les identités autorisées, les systèmes et opérations auxquels elles peuvent accéder, le chemin de transfert et la manière habituelle dont une session se termine.

Cinq lignes que quelqu’un relit quand une personne arrive ou part valent mieux qu’une politique que personne ne peut appliquer :

• Appareil ou environnement distant approuvé, avec un responsable de maintenance nommé.
• Identités individuelles d’utilisateur et d’appareil autorisées pour le support.
• Systèmes et opérations auxquels ces identités peuvent accéder.
• Chemin autorisé pour les outils, les fichiers et la sortie de diagnostic.
• Processus de fin de session et une alternative d’urgence autorisée.

Accès d’urgence sans déplacer les identifiants

Quand un contrôle bloque une réparation urgente, le chemin est le processus d’exception, pas un second portable portant les mêmes identifiants. Une exception approuvée consigne qui l’a autorisée, ce qui a été assoupli et quand elle prend fin. Déplacer un identifiant vers une machine d’usage quotidien modifie la frontière au pire moment possible, et elle reste généralement modifiée ensuite. La voie d’urgence mérite un exercice tant que rien n’est cassé.

Terminez ensuite la session comme l’accord le prévoit, et confirmez que l’accès a réellement cessé.