saisissant un mot de passe, soit en utilisant une solution plus solide à base de token.
Cette solution nécessite généralement d’installer sur le poste de travail de l’utilisateur un
jeu de clés publique et privée pour s’authentifier. Il est important que les fichiers
contenant les clés privées (ou le mot de passe protégeant les clés) soient bien protégés en
lecture.
Les solutions, payantes ou gratuites, sont très nombreuses. Il est conseillé de retenir
celles qui utilisent les protocoles éprouvés que sont IPSec ou SSL/TLS.
Dans de nombreuses solutions, une interface d’administration permet au besoin d’activer
ou de désactiver individuellement les utilisateurs. Cela aide à limiter les accès au strict
nécessaire.
Accès privés 3G/4G
Une solution qui ne vient pas forcement à l’esprit est l’utilisation du réseau 3G/4G privé.
Tous les opérateurs offrent en effet des solutions dites avec « APN privée ».
Le fonctionnement est strictement le même que pour un « accès data » grand public.
L’utilisateur dispose ainsi d’une carte SIM qu’il insère directement sur son ordinateur
portable ou une clé USB. Après avoir tapé le code PIN, il doit saisir un nom d’utilisateur
et un mot de passe. Ensuite, l’opérateur lui octroie une adresse IP. La différence avec les
offres grand public est que l’accès qui lui est fourni n’est pas connecté à Internet, mais au
SI de l’entreprise. Une autre différence est que l’adresse qui lui est attribuée est toujours
la même et est réservée au client (la société dans laquelle travaille l’employé). En fait,
ces réseaux sont des sortes de réseau MPLS en 3G.
Ces réseaux sont extrêmement pratiques pour les personnels techniques amenés à faire
des tournées dans une région et qui ont besoin d’accéder à des applications internes de
l’entreprise. Cela fournit un accès sur tout le territoire sans pour autant publier
d’applications sensibles sur Internet.
Bien que très pratique, cette solution n’est pas sans poser quelques problèmes sérieux en
matière de sécurité. Le premier est que rien n’empêche l’utilisateur de changer son code
PIN et de le positionner à une valeur triviale telle que 0000. Le second problème est que
la saisie de l’identifiant et du mot de passe est souvent effectuée de façon transparente
par l’utilitaire de communication, pour faciliter le processus de connexion. L’utilisateur
n’a ainsi rien à saisir. Cependant, en cas de vol de l’équipement, le voleur n’a qu’à ouvrir
une session sur l’ordinateur portable volé pour disposer d’un accès direct au SI.
Un dernier inconvénient est que la gestion des cartes SIM pour ces accès 3G est tout
aussi approximative que la gestion des cartes SIM pour les téléphones. Les personnes
quittant l’entreprise oublient souvent de restituer la carte SIM. D’autres la confient à des
collègues avant d’être mutés, si bien que, rapidement, il est très difficile de savoir qui
détient réellement quelle carte SIM.
Cette solution nécessite généralement d’installer sur le poste de travail de l’utilisateur un
jeu de clés publique et privée pour s’authentifier. Il est important que les fichiers
contenant les clés privées (ou le mot de passe protégeant les clés) soient bien protégés en
lecture.
Les solutions, payantes ou gratuites, sont très nombreuses. Il est conseillé de retenir
celles qui utilisent les protocoles éprouvés que sont IPSec ou SSL/TLS.
Dans de nombreuses solutions, une interface d’administration permet au besoin d’activer
ou de désactiver individuellement les utilisateurs. Cela aide à limiter les accès au strict
nécessaire.
Accès privés 3G/4G
Une solution qui ne vient pas forcement à l’esprit est l’utilisation du réseau 3G/4G privé.
Tous les opérateurs offrent en effet des solutions dites avec « APN privée ».
Le fonctionnement est strictement le même que pour un « accès data » grand public.
L’utilisateur dispose ainsi d’une carte SIM qu’il insère directement sur son ordinateur
portable ou une clé USB. Après avoir tapé le code PIN, il doit saisir un nom d’utilisateur
et un mot de passe. Ensuite, l’opérateur lui octroie une adresse IP. La différence avec les
offres grand public est que l’accès qui lui est fourni n’est pas connecté à Internet, mais au
SI de l’entreprise. Une autre différence est que l’adresse qui lui est attribuée est toujours
la même et est réservée au client (la société dans laquelle travaille l’employé). En fait,
ces réseaux sont des sortes de réseau MPLS en 3G.
Ces réseaux sont extrêmement pratiques pour les personnels techniques amenés à faire
des tournées dans une région et qui ont besoin d’accéder à des applications internes de
l’entreprise. Cela fournit un accès sur tout le territoire sans pour autant publier
d’applications sensibles sur Internet.
Bien que très pratique, cette solution n’est pas sans poser quelques problèmes sérieux en
matière de sécurité. Le premier est que rien n’empêche l’utilisateur de changer son code
PIN et de le positionner à une valeur triviale telle que 0000. Le second problème est que
la saisie de l’identifiant et du mot de passe est souvent effectuée de façon transparente
par l’utilitaire de communication, pour faciliter le processus de connexion. L’utilisateur
n’a ainsi rien à saisir. Cependant, en cas de vol de l’équipement, le voleur n’a qu’à ouvrir
une session sur l’ordinateur portable volé pour disposer d’un accès direct au SI.
Un dernier inconvénient est que la gestion des cartes SIM pour ces accès 3G est tout
aussi approximative que la gestion des cartes SIM pour les téléphones. Les personnes
quittant l’entreprise oublient souvent de restituer la carte SIM. D’autres la confient à des
collègues avant d’être mutés, si bien que, rapidement, il est très difficile de savoir qui
détient réellement quelle carte SIM.