VPN
Tunnel chiffré qui relie un poste distant ou un site au réseau de l’entreprise à travers Internet.
Définition complète
Un VPN (Virtual Private Network, réseau privé virtuel) crée un tunnel chiffré à travers Internet entre un poste nomade et le réseau de l’entreprise, ou entre deux sites. Les échanges sont protégés contre l’interception, et le salarié accède aux ressources internes comme s’il était au bureau.
L’ANSSI recommande un VPN reposant sur IPsec ou TLS configuré à l’état de l’art, et de privilégier IPsec lorsque les besoins de sécurité sont importants. Pour les TPE et PME, elle conseille de configurer si possible le client en full-tunneling (tout le trafic passe par le tunnel) et de n’exposer les applications métier sensibles qu’au travers du VPN, jamais directement sur Internet.
La passerelle VPN est elle-même un équipement exposé et donc une cible : identifiants volés, failles non corrigées. Le CERT-FR a observé des attaquants utilisant des comptes VPN légitimes dérobés pour revenir dans les réseaux de leurs victimes. Double authentification et mises à jour rapides sont indispensables.
Source : ANSSI, Recommandations sur le nomadisme numérique (PA-054), ANSSI, La cybersécurité pour les TPE/PME en 13 questions, CERT-FR, Supply chain attacks
Exemple concret
Un bureau d’études de 25 personnes accédait à son serveur de fichiers depuis l’extérieur par un partage exposé sur Internet. Il met en place une passerelle VPN avec double authentification : les ingénieurs en déplacement se connectent d’abord au VPN, puis au serveur, qui n’est plus visible depuis Internet. Dans les hôtels et les gares, le trafic de leurs ordinateurs reste chiffré jusqu’au bureau.
Comment se protéger
- Choisir une solution VPN IPsec ou TLS maintenue et configurée selon l’état de l’art.
- Imposer la double authentification, idéalement avec certificat sur le poste, pour toute connexion VPN.
- Appliquer en urgence les correctifs de sécurité de la passerelle VPN, cible privilégiée des attaquants.
- Ne rendre les applications internes accessibles que par le VPN, jamais directement sur Internet.
- Limiter les accès de chaque utilisateur ou prestataire aux seules ressources nécessaires et désactiver les comptes inutilisés.
- Journaliser les connexions et surveiller les connexions depuis des pays ou à des horaires inhabituels.
Questions fréquentes
Non, ce n’est pas le même usage. Un VPN grand public masque la navigation vis-à-vis du réseau local, mais ne donne pas accès au réseau de l’entreprise et fait transiter le trafic par un tiers. Pour le travail, l’ANSSI recommande un VPN maîtrisé par l’entité.
Oui. L’ANSSI recommande de se connecter uniquement à des réseaux Wi-Fi maîtrisés et, quand c’est impossible (gares, aéroports, cafés), d’utiliser un VPN maîtrisé par l’entité.
Termes liés
Authentification multifacteur
Méthode de connexion requérant plusieurs preuves d'identité.
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
Sécurité du Wi-Fi (WPA3)
Ensemble des mesures qui protègent un réseau sans fil, dont le protocole WPA3 qui chiffre et authentifie les connexions Wi-Fi.
Vulnérabilité zero-day
Faille de sécurité exploitée avant d’avoir été rendue publique ou avant qu’un correctif soit disponible.
Vous avez besoin d'un expert en VPN ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.