Sur le Wi-Fi du bureau et on vous demande encore le VPN ? Voici pourquoi

Le portable est sur le SSID d’entreprise, l’invite de certificat a été acceptée, et une application web demande encore le VPN. Cela ressemble à du double travail, et parfois c’en est. Les deux authentifications imposent généralement des décisions différentes, et le seul moyen de savoir si la seconde mérite sa place est de demander ce qu’elle change.

Rejoindre un réseau est une décision d’admission

Un déploiement 802.1X répond à une question : cet appareil ou cet utilisateur peut-il se rattacher à ce réseau ? Le point d’accès transmet les identifiants à un serveur RADIUS, et la réponse peut porter des attributs qui placent la session dans un VLAN particulier ou appliquent un filtre. C’est de l’admission et de la segmentation, pas une autorisation pour une application donnée.

Une fois la session admise, la liaison sans fil est chiffrée entre le client et le point d’accès. La protection s’arrête là, à la frontière du réseau filaire.

Tout ce qui se trouve au-delà de ce point est du routage ordinaire à l’intérieur du bâtiment, avec l’accessibilité interne que le segment autorise.

Ce que EAP-TTLS protège réellement

EAP-TTLS construit un tunnel TLS pendant l’authentification et y exécute une méthode interne. La méthode interne est souvent PAP, et sa présence dans une conception ne signifie pas que le mot de passe traverse l’air en clair, car c’est le tunnel TLS qui le porte. Le client doit toujours vérifier l’identité du serveur et faire confiance à la bonne CA, et un SSID familier n’est pas cette vérification. Lisez le choix de la méthode interne comme un format d’identifiants, non comme une affirmation sur le chiffrement externe.

C’est un échange d’authentification, pas un tunnel de données pour le trafic ultérieur du portable.

Quand l’authentification se termine, le tunnel TLS disparaît et les paquets du client circulent sur le segment admis. Confondre les deux est la racine de la croyance que le chiffrement Wi-Fi fait déjà le travail du VPN.

Le VPN est une seconde décision, plus étroite

Un VPN répond à une autre question : quelles ressources privées cette identité peut-elle atteindre, et dans quelles conditions ? Il se termine sur une passerelle dotée de sa propre politique, de ses propres contrôles d’identité et souvent de ses propres exigences sur l’état de l’appareil. L’ensemble accessible après l’établissement du tunnel est généralement plus petit que le réseau interne du bâtiment et propre au rôle.

C’est pourquoi un rôle de maintenance peut être admis sur le Wi-Fi comme tout le monde et avoir malgré tout besoin d’un tunnel pour atteindre un sous-réseau d’administration. La décision Wi-Fi a été prise au point d’accès ; celle-ci se prend à la passerelle.

Les deux étapes peuvent être chiffrées et imposer malgré tout des politiques sans rapport.

Où la confiance fondée sur l’emplacement se brise

Traiter le réseau du bureau comme implicitement digne de confiance échoue pour une raison simple : l’emplacement réseau est une propriété de la connexion, pas de la personne. Les recommandations de confiance zéro du NIST le disent directement, et c’est pourquoi l’accès aux ressources se décide par requête et non par bâtiment. Quiconque rejoint le même SSID hérite du même emplacement. C’est aussi pourquoi un portable compromis sur le réseau du personnel mérite le même scepticisme qu’un autre sur le réseau invité.

La conséquence pratique est que l’autorisation des applications doit encore exister. Un VPN qui accorde tout un sous-réseau, plus une application qui fait confiance à toute requête venant de ce sous-réseau, est à un identifiant près d’une mauvaise journée.

Aucune des deux couches ne remplace l’autre, car elles répondent à des questions à des échelles différentes.

Comment savoir si la seconde authentification mérite sa place

Demandez au propriétaire du réseau deux choses : ce qui devient accessible une fois le VPN connecté, et quelles conditions d’identité ou d’appareil sont vérifiées pour l’autoriser ? Vérifiez ensuite les réponses en testant ce qui répond réellement. Si le tunnel ne change ni l’accessibilité ni la garantie, il s’agit peut-être d’une habitude opérationnelle plutôt que d’un contrôle, et c’est une décision du propriétaire, pas quelque chose qu’un utilisateur devrait contourner.

Cherchez aussi des chemins directs non voulus, car une ressource accessible sans le tunnel rend le tunnel décoratif.

Documentez chaque frontière et son but, et la personne suivante n’aura pas à deviner pourquoi il y a deux authentifications.