Mise en pratique exemplaire d'une certification de sécurité : l'application client VPN

 

LA COMMUNICATION PAR VPN

 

Présentation du principe

Dans un environnement commercial et professionnel de plus en plus éclaté et déporté, les entreprises ont très tôt éprouvé le besoin de se soustraire des lignes spécialisées pour continuer de communiquer aisément et efficacement avec leurs interlocuteurs habituels, clients ou collaborateurs, toujours plus mobiles et éloignés.

Maintenir un accès pratique aux applications et serveurs de l'entreprise s'est imposé comme un enjeu crucial en dépit de l'infrastructure de communication sous-jacente (Internet) dans laquelle la sécurité des échanges et la protection des sites n'était pas assurée.

Dès la fin des années 90, la réponse est trouvée avec l'émergence des premières applications sécurisées de type VPN, Virtual Private Network ou 'réseau privé virtuel' en français dont la caractéristique principale est d'offrir une fonction "Tunneling" (encapsulation des données avec en-tête) permettant le transport d'un protocole par un autre protocole.

Parmi les différentes formes de mise en œuvre d'un VPN, on s'intéresse ici à celle qui nécessite l'installation d'un logiciel "Client VPN" côté utilisateur, permettant la connexion au "Serveur VPN" côté serveur d'accès distant.

 

 

Propriétés du VPN

  • Le VPN utilise l’Internet comme infrastructure publique de communications.
  • Le VPN garantit la vie privée au niveau du réseau par l'encapsulation de paquets dans d’autres paquets et par l'utilisation de mécanismes cryptographiques pour l’authentification et le chiffrement du contenu.
  • Le VPN partage l’Internet en permettant l’utilisation interne de schémas d’adressage privé.

 

Services fournis par le VPN

  • Protéger les sites.
  • Protéger les communications inter-sites.
  • Autoriser les accès distants aux services extranet.
  • Autoriser les accès licites distants aux services intranet.

 

 

Fonctionnalités sur lesquelles s'appuient les services fournis par le VPN

L'authentification de l'utilisateur : seuls les utilisateurs autorisés doivent pouvoir s'identifier sur le réseau virtuel et un historique des connexions et des actions effectuées sur le réseau doit être conservé.
La gestion des adresses : chaque client sur le réseau doit avoir une adresse privée qui doit rester confidentielle et un nouveau client doit pouvoir se connecter facilement au réseau en recevant une adresse univoque.
Le cryptage des données : lors de leur transport sur le réseau public les données doivent être protégées par un cryptage efficace.
La gestion des clés : les clés de cryptage pour le Client et le Serveur doivent pouvoir être gérées (générées et distribuées) en toute sécurité.

Répartition des fonctions par protocoles utilisés par le VPN

Les protocoles de chiffrement de données et d’authentification sont utilisés pour encapsuler les paquets à protéger. Les paquets sortants sont authentifiés, codés et encapsulés juste avant leur envoi sur le réseau tandis que les paquets entrants sont décapsulés, vérifiés et déchiffrés dès réception.
Le protocole d’échange des clefs est utilisé pour créer et conserver de façon dynamique les paramètres nécessaires à la communication sécurisée (clés cryptographiques, sélection des algorithmes, ordre des transformations, etc.).
Le module de politique de sécurité régit l'environnement dans lequel doivent être traités les paquets. Quel hôte est autorisé à échanger ? Quel type de trafic ? etc.

 

 

 

EXEMPLES DE DÉCLINAISON DES APPLICATIONS VPN


Jusqu'ici le VPN a été présenté comme un principe.
L'implémentation de ses caractéristiques fonctionnelles en mécanismes opérationnels va donner lieu à l'émergence, sur le marché, de nombreux produits différents dont certains vont devenir des standards.
La discrimination entre les produits VPN s'établit, d'une part, sur la capacité à supporter les protocoles de communication réseaux les plus courants et, d'autre part, sur la robustesse des fonctions de sécurité proposées.


Exemples d'implémentation :

  • Au niveau 'liaison de données' : PPTP ou L2TP (transport de sessions PPP au-dessus de IP+UDP pour Internet).
  • Au niveau 'réseau' : IPSEC ou MPLS.
  • Au niveau 'transport' : SSL ou TLS.
  • Au niveau 'application' : SSH.


   
Exemples de sécurisation de l'Internet :

  • Transmission sécurisée des données : IPSEC.
  • Filtrage des communications : Pare-feu.
  • Distribution des clefs : IKE, PKI.
  • Contrôle d'accès, authentification : Radius, Certification X.509.

 

 

L'ÉVALUATION ET LA CERTIFICATION DE SÉCURITÉ DE L'APPLICATION CLIENT VPN


Le contexte

Une des principales caractéristiques économiques des applications VPN est qu'elles contribuent au développement de la mobilité en entreprise de façon relativement peu onéreuse, et ceci grâce à un faible coût de mise en place.
Cependant, parce qu'il sert pour des applications d'entreprise de plus en plus critiques, le lien VPN doit faire l'objet de toutes les attentions et s'inscrire nécessairement dans la stratégie de gestion des risques de l'entreprise.
Pour une organisation, opter pour le déploiement d'un VPN c'est opter pour un modèle de sécurité réseau caractérisé par les choix techniques et organisationnels suivants :

  • Le type de connexion (par exemple, par logiciel Client VPN).
  • Les protocoles et le type d'authentification (en fonction de l'obligation d'interopérabilité des différents matériels de communication exploités).
  • La méthode d'affectation dynamique des adresses.
  • La prise en compte du VPN dans la PSSI (Politique de Sécurité du Système d'Information) de l'entreprise.


La dernière caractéristique trouve son développement dans la décision explicite de penser "sécurité" dès la spécification du système et dans la volonté, généralement plus implicite, de maintenir les coûts à un bas niveau.
Cette décision trouvera sa pleine mesure si la PSSI s'inscrit naturellement dans le RGS (Référentiel Général de Sécurité) d'une autorité administrative, ou plus généralement dans le SMSI (Système de Management de la Sécurité de l'Information) de l'organisation qui installe le VPN.
En choisissant dès l'origine de se conformer aux standards de la série ISO-2700x, en particulier avec la volonté de respecter les exigences exprimées par le standard ISO-27001 en matière de définition de la  politique de management de la sécurité, et de respecter celles du standard ISO-27005 en matière d'Analyse et de Gestion des risques, la direction de l'organisation sera d'autant mieux armée pour intégrer avec une sécurité absolue et à moindre frais l'application Client VPN dans son système d'échanges électroniques.
Que ce soit dans le cadre d'une étude de sécurité de type EBIOS ou pour répondre à des exigences de type FEROS, les mesures de sécurité implémentant l'application Client VPN ne sauront se dispenser d'une évaluation de sécurité de qualification ou de certification suivant le cas.

 

 

Les Critères Communs et le schéma national d'évaluation et de certification

De par sa nature dédiée essentiellement à la sécurité, de par son périmètre parfaitement établi et de par la multiplicité de ses implémentations, l'application VPN, et plus particulièrement ici, l'application Cliente VPN s'est révélée une candidate exemplaire à l'établissement d'un profil de protection au sens des Critères Communs. Le schéma national d'évaluation et de certification Français (ANSSI) a publié ce profil de protection (PP) en juin 2008 .
Ce PP, qui définit l'ensemble des objectifs et des exigences de sécurité, indépendamment de l'implémentation, devient dès lors l'outil indispensable du concepteur d'une application Cliente VPN désireux d'élaborer à moindre frais une architecture de sécurité complète et rigoureuse.
De même, dans la perspective de faire évaluer et certifier le produit développé, le fournisseur de l'application Cliente VPN établit simplement la Cible de Sécurité du produit à partir du PP, en complétant les exigences de sécurité par les mécanismes opérationnels qu'il a choisi d'implémenter.
Le double intérêt, à la fois technique et économique, est de pouvoir promouvoir une application de sécurité certifiée et de bénéficier de sa maintenance à l'état de l'art face à l'évolution des vulnérabilités potentielles.
À signaler que dans le cadre des Critères Communs, lors d'une extension du périmètre de la cible à évaluer, par exemple pour prendre en compte l'installation et la mise à jour de l'application et/ou sa configuration ou encore l'infrastructure de gestion des clés de l'application, le concepteur peut avantageusement et de façon naturelle compléter la cible de sécurité tout en la maintenant conforme au PP.

 

Fidens vous accompagne dans la certification de vos développements et solutions, contactez nous.