Depuis toujours importante, la sécurité des réseaux privés virtuels (VPN) est désormais impérative compte tenu de la pandémie actuelle de COVID-19. Le télétravail est rapidement devenu la nouvelle norme et, par conséquent, la demande en fonctionnalités VPN a explosé. Malheureusement — mais sans surprise — les attaques contre les VPN ont elles aussi fortement augmenté. Signe de la gravité de la situation, la Cybersecurity and Infrastructure Security Agency (CISA) du département de la Sécurité intérieure des États-Unis a publié en mars l’alerte AA20-073A sur la sécurité des VPN d’entreprise.
En substance, les VPN étendent le périmètre du réseau de l’entreprise et permettent aux utilisateurs d’accéder aux applications professionnelles où qu’ils se trouvent. L’infrastructure sur site n’est alors plus qu’à « un saut » (ou un clic) de l’appareil de l’utilisateur. De même, un seul saut sépare désormais les ressources de l’entreprise des risques de sécurité. Les attaquants n’ont ainsi plus nécessairement besoin de contourner plusieurs couches sophistiquées de sécurité périmétrique (proxys, WAF, systèmes de détection d’intrusion, etc.) : une seule vulnérabilité ou une mise en œuvre non sécurisée d’un VPN peut suffire à exposer les ressources de l’entreprise et les informations personnelles.
Dans cet article, nous nous concentrerons sur certains des principaux aspects essentiels à l’évaluation de la sécurité de votre VPN.
Posture de sécurité des terminaux
Les utilisateurs établissent généralement un tunnel VPN SSL depuis leurs terminaux, tels que des ordinateurs de bureau, des ordinateurs portables et des appareils mobiles. Ces terminaux constituent à la fois des points d’entrée et des cibles privilégiées pour les acteurs malveillants qui tentent de les utiliser comme vecteurs d’attaque. Il est donc important de toujours vérifier qu’un terminal est sécurisé avant d’établir un tunnel VPN. La sécurité des terminaux est une approche stratégique visant à s’assurer qu’un appareil client ne présente aucun risque de sécurité avant de l’autoriser à se connecter à distance au réseau. Une telle stratégie peut notamment impliquer la vérification systématique du certificat de la machine cliente, du type de client et/ou de la version du navigateur client, la vérification des correctifs des logiciels anti-espions et antivirus, ainsi que l’examen des règles du pare-feu du client.
L’évaluation de la posture de sécurité des terminaux s’effectue généralement au début de la session, avant l’établissement d’un tunnel VPN, mais elle peut également être réalisée périodiquement au cours de la session VPN de l’utilisateur. L’évaluation continue de la posture de sécurité des terminaux atténue les risques ultérieurs en vérifiant que les terminaux n’ont pas été compromis après l’établissement initial du tunnel VPN.
Authentification et autorisation des utilisateurs
L’authentification consiste à vérifier l’identité des utilisateurs avant d’établir un tunnel VPN. La vérification des identifiants des télétravailleurs garantit que seuls les utilisateurs légitimes ont accès aux ressources et applications internes.
Cependant, avec l’essor du bourrage d’identifiants et des méthodes de prise de contrôle de compte (ATO), un attaquant pourrait être en possession d’identifiants utilisateur valides et contourner l’authentification à facteur unique. Il devient donc essentiel de mettre en œuvre une authentification multifacteur pour votre VPN.
Authentification multifacteur (MFA)
L’authentification multifacteur (MFA) renforce la sécurité en demandant aux utilisateurs de fournir au moins deux facteurs d’authentification vérifiables avant d’établir un tunnel VPN. Selon les estimations du secteur, cette approche permet à la MFA de bloquer efficacement 99,9 % des attaques par prise de contrôle de compte (ATO). Les facteurs d’authentification courants sont les suivants :
- Quelque chose que l’utilisateur connaît, comme un mot de passe, un code PIN ou un geste sur le pavé tactile
- Quelque chose que l’utilisateur possède, comme un jeton physique ou logiciel, ou un certificat
- Quelque chose que l’utilisateur est, c’est-à-dire une donnée biométrique, telle qu’une empreinte digitale, un scan rétinien ou la reconnaissance faciale ou vocale
Une fois l’utilisateur authentifié, les politiques d’autorisation évaluent l’ensemble de ses permissions afin de lui accorder un accès spécifique aux ressources et applications internes, tout en appliquant les restrictions appropriées. L’accès est accordé selon différents modèles d’autorisation, tels que le contrôle d’accès basé sur les rôles (RBAC). Des privilèges et préférences spécifiques peuvent être appliqués aux utilisateurs du VPN grâce à la mise en œuvre de contrôles de sécurité supplémentaires, tels que des listes de contrôle d’accès (ACL), lors de l’établissement du tunnel VPN.
Confidentialité et intégrité des données
Le chiffrement garantit la confidentialité et l’intégrité des données d’entreprise lors de leur transmission sur des réseaux partagés ou publics via le tunnel VPN.
Pour accéder à des données confidentielles, des acteurs malveillants peuvent tenter de dérober des clés privées, d’exploiter des vulnérabilités connues dans l’implémentation cryptographique ou de casser des paramètres cryptographiques faibles.
Lors de la configuration d’un VPN SSL, vous devez tenir compte de la gestion de l’échange de clés et de la robustesse des algorithmes de chiffrement. Les versions antérieures à TLS1.3 présentent des failles connues dans la définition du protocole et dans leur implémentation. D’autres attaques consistent notamment à exploiter abusivement la renégociation côté client et à utiliser des primitives cryptographiques faibles, telles que le chiffrement par flot RC4 et les algorithmes de chiffrement de qualité export.
Attaques DDoS contre les VPN
Lorsque la plupart ou la totalité de vos employés travaillent à distance, la disponibilité de votre serveur VPN (parfois appelé concentrateur VPN) devient également essentielle à la continuité de l’activité. À l’inverse, les serveurs VPN peuvent constituer une cible privilégiée pour des acteurs malveillants qui tentent de les saturer au moyen de requêtes automatisées, aléatoires et distribuées, rendant ainsi le VPN indisponible pour les utilisateurs légitimes.
Les VPN SSL sont accessibles via une adresse IP/URL (dans un navigateur web ou configurée dans un client VPN), ce qui les rend vulnérables aux mêmes types d’attaques DDoS que ceux ciblant les serveurs web, tels que les floods HTTP, les floods SSL, la renégociation SSL, les attaques TCP blend, etc.
Par conséquent, afin d’assurer la continuité de vos activités via votre VPN, il peut être essentiel de configurer celui-ci pour détecter et atténuer les attaques DDoS dans le cadre de votre stratégie globale de sécurité.
Ressources supplémentaires :
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.