Zero Trust, VPN et inspection TLS remplissent des rôles différents

Les documents d’achat traitent zero trust, le VPN et l’inspection TLS comme s’il s’agissait du même achat, et chacun répond à une question que les autres ne peuvent pas trancher. Un tunnel construit un chemin protégé, une passerelle d’inspection lit le trafic qu’elle peut terminer, et une politique décide si une identité nommée peut exécuter une opération nommée sur une ressource nommée. Seule la dernière est une décision d’autorisation. Un produit peut parfaitement assurer les deux premières et laisser la vraie question ouverte.

Trois mécanismes, trois questions

Le tunnel répond à la question de savoir comment le trafic atteint le réseau. Une passerelle d’inspection répond à ce qu’un équipement intermédiaire peut voir et faire là où il est autorisé à terminer TLS. Un moteur de politique répond à qui peut faire quoi sur quelle ressource, puis il a besoin d’un point d’application capable d’appliquer cette réponse. L’architecture zero trust du NIST place la ressource au centre et refuse de déduire la confiance de l’origine d’un paquet.

Ce cadrage est plus difficile à satisfaire qu’une étiquette, et bien plus difficile à falsifier lors d’un audit. Il déplace aussi la question des produits déployés vers les décisions appliquées et par quoi.

Où la décision est réellement appliquée

Prenez une requête : un ingénieur du support ouvre une console de service, et une machine personnelle branchée sur le même commutateur ne doit pas hériter de cette permission simplement parce qu’elle est à proximité. Notez l’opération autorisée, les conditions de l’appareil et le composant qui les applique. Le placement décide de tout : une passerelle applicative, un proxy de service, un contrôle d’hôte ou une autre frontière que l’organisation prend réellement en charge. Quel que soit ce composant, il doit se trouver sur le chemin des tentatives distantes comme locales.

Le trafic qui ne franchit jamais l’entrée du VPN n’est pas régi par un contrôle effectué là, aussi minutieux soit-il. Ce seul écart explique l’essentiel de la distance entre un schéma zero trust et un déploiement qui fonctionne. Dessinez le chemin de la requête avant de dessiner l’architecture.

Le déchiffrement n’est pas une autorisation

L’interception sert des objectifs d’inspection étroits et porte sa propre charge de certificats, d’autorités racines de confiance, de revue de confidentialité et d’applications qui se cassent en dessous. Rien de tout cela n’est ce que signifie zero trust, et rien de tout cela ne remplace une décision de politique. Authentifier une personne et autoriser un service est parfaitement possible sans déchiffrer un seul paquet. Un flux déchiffré ne dit rien sur le droit de l’utilisateur à l’opération qu’il transporte.

La politique a besoin d’un type de preuve, et le déchiffrement n’en est pas une. L’état de l’appareil est une entrée parmi l’identité, la sensibilité de la ressource et le contexte, et le réussir une fois ne donne pas à cette machine le reste du réseau. Mélanger les deux transforme une question d’autorisation en projet de certificats.

Quand la passerelle n’est nulle part sur le chemin

Inventoriez ce qui circule sans toucher la passerelle distante : liens entre machines du segment local, appels d’une charge de travail à une autre et points de terminaison atteints directement dans un compte cloud. Pour chaque chemin, nommez une méthode d’application réellement déployable aujourd’hui. Un équipement qui ne peut pas héberger d’agent a tout de même besoin d’un autre contrôle explicitement pris en charge, et supposer que l’agent arrivera plus tard ne ferme rien aujourd’hui. L’accès de service à service convient généralement mieux à l’identité de charge de travail et à un contrôle écrit contre la ressource qu’à un autre réseau superposé.

Acceptez la conception sur le comportement et non sur les schémas : quelles opérations sont autorisées, lesquelles sont refusées et où chaque réponse est appliquée. Validez des opérations autorisées et refusées précises, et incluez une route locale qui n’atteint jamais la passerelle. Consignez qui détient la politique, comment elle change et comment fonctionne la révocation.

Un tunnel rebaptisé reste un tunnel. Une politique décide, et quelque chose doit l’appliquer.