Depuis des décennies, le réseau privé virtuel (VPN) est un élément essentiel de la vie quotidienne des professionnels travaillant en dehors du bureau. Voici un autre élément essentiel : se plaindre du VPN.
Les utilisateurs finaux se moquent du temps supplémentaire que les VPN ajoutent à la connexion au réseau d’entreprise et souffrent d’un accès Internet plus lent une fois qu’ils se connectent. Les administrateurs réseau doivent répondre aux appels du service d’assistance de ces utilisateurs en colère. Tout le monde semble trouver les VPN gênants, gênants et ennuyeux.
Et c’était avant la pandémie. Traditionnellement, la plupart des entreprises achetaient juste assez de capacité VPN pour servir environ 10 % de leurs employés à la fois, ce qui est suffisant pour s’assurer que les commerciaux qui font le tour, les cadres supérieurs et d’autres personnes pourraient accomplir leur travail lorsqu’ils travaillent en dehors du bureau.
Mais soudain, tout le monde travaillait à domicile, et à moins que vous ne puissiez rapidement mettre la main sur le matériel sur site requis pour exécuter des VPN traditionnels (appelés concentrateurs VPN), les entreprises étaient durement pressées de maintenir les travailleurs fournis avec des connexions sécurisées et fiables.
« Les entreprises ont dû multiplier par dix leur capacité VPN, et les utilisateurs obtiennent des performances plus médiocres que jamais. »Richard Stiennon
« Ce qui était autrefois un ennui interfère désormais avec les activités commerciales », déclare Richard Stiennon, fondateur d’IT-Harvest, une société d’analyse de sécurité. « Les entreprises ont dû multiplier par dix leur capacité VPN, et les utilisateurs obtiennent des performances plus médiocres que jamais. »
Les dirigeants dans un sondage mené par Tanium en juin 2020, en fait, ont désigné les VPN surtaxés comme le deuxième plus grand défi de sécurité auquel ils ont été confrontés alors qu’ils passaient à des effectifs plus distribués. (Le n° 1 identifiait de nouveaux appareils informatiques sur le réseau, en tant que travailleurs à distance connectés avec leurs appareils personnels.) Par conséquent, 40 % ont déclaré qu’ils réduisaient leur dépendance à la technologie à l’avenir.
[Regarder : une bonne sécurité est bien effectuée par l’informatique]
Une raison : les équipes de cybersécurité ont dû consacrer tellement de temps à la mise en place de connexions sécurisées pour les travailleurs à distance qu’elles ont négligé d’autres tâches, explique Stiennon. Dans le sondage Tanium, 26 % des cadres dirigeants ont déclaré que leurs entreprises devaient déprioriser les correctifs et autres activités de sécurité au cours des premiers mois de la crise. En 2021, alors que la pandémie se poursuit, de nombreuses entreprises explorent des alternatives plus sécurisées et évolutives.
Temps pour une mise à niveau
Heureusement, les entreprises ont une alternative. Alors que de plus en plus de tâches numériques sont effectuées à l’aide de services basés sur le cloud, comme Microsoft360, Slack et Zoom, les principaux fournisseurs ont développé des capacités plus rapides, plus automatisées et plus sécurisées que les VPN. De plus en plus, cela rend les VPN obsolètes, déclare Rob Sadowski, responsable du marketing de confiance et de sécurité chez Google Cloud.
« Avoir un accès à distance intégré au cloud est une meilleure expérience pour l’utilisateur et les administrateurs. »Alex J. Philips
« Les VPN ne sont tout simplement pas les mieux adaptés à la main-d’œuvre étendue », déclare M. Sadowski. « Avoir un accès à distance intégré au cloud est une meilleure expérience pour l’utilisateur et les administrateurs. »
Alex J. Philips, DSI de National Oilwell Varco, basé à Houston, est d’accord. « Les VPN sont probablement la première source de problèmes dans mon monde », dit-il.
En 2016 , la société de services de puits de pétrole a retiré plus d’une douzaine de ses routeurs VPN et est passée à un service basé sur le cloud qui offrait des centaines de points d’accès dans le monde entier. Un ingénieur à Singapour, par exemple, pouvait se connecter en toute sécurité aux applications basées sur le cloud sans avoir à utiliser un VPN. Il en a résulté une meilleure expérience utilisateur, que l’employé se connecte à l’application de suivi des dépenses de l’entreprise ou utilise des services basés sur le cloud tels que Zoom ou Slack.
Un autre avantage a été l’évolutivité, déclare Philips. Avec le VPN, le nombre maximum d’employés qui se sont connectés à distance était de 2 000. Lorsque la pandémie a frappé, 9 000 travailleurs se connectaient en même temps. Le système cloud les a gérés sans attelage.
[Lire également : Comment Bank of America étend son avenir numérique]
« Pendant ce temps, toutes ces autres entreprises s’efforçaient d’acheter plus de capacité VPN, à un moment où les chaînes d’approvisionnement mondiales s’arrêtaient et où vous ne pouviez pas trouver plus de matériel », dit-il. « Si nous avions toujours notre architecture VPN existante, je ne sais pas ce que nous aurions fait, mais cela aurait été brutal. »
Les services basés sur le cloud offrent leurs propres fonctionnalités de sécurité intégrées qui n’ont pas les vulnérabilités inhérentes aux VPN. Google Cloud, par exemple, a développé une technologie open source appelée BeyondCorp afin que ses propres employés puissent se connecter en toute sécurité depuis leur Wi-Fi domestique, ou tout autre réseau non sécurisé, sans avoir à s’emmêler avec un VPN.
Lorsque la ville de New York a créé son Cyber Command pour créer une infrastructure commune pour tous les sites Web et services de la ville, les responsables ont choisi Google Cloud, en partie parce qu’il leur a permis d’éviter d’utiliser des VPN. « Ils ont des travailleurs qui protègent la plus grande ville du pays, et ils ont besoin de ces travailleurs pour accéder aux applications et ressources critiques quand ils le souhaitent », déclare Sadowski.
Gagner la confiance dans le Zero Trust
En plus d’avoir une bande passante essentiellement illimitée, BeyondCorp suit une approche de la sécurité appelée « Zero Trust », dans laquelle les utilisateurs doivent prouver leur identité de plusieurs manières chaque fois qu’ils se connectent aux systèmes, applications et sites Web de l’entreprise. Un problème avec les VPN traditionnels est qu’une fois que les utilisateurs sont admis sur un réseau, ils disposent d’un accès libre où ils le souhaitent, y compris, imaginablement, aux bases de données sensibles des clients et des employés.
Récemment, les pirates informatiques ont obtenu un accès via un VPN au réseau d’une société de traitement de l’eau à Oldsmar, en Floride, et ont presque réussi à injecter des quantités dangereuses de menthe dans le système d’eau, selon des rapports de presse.
Un système Zero Trust confirme non seulement l’identité de chaque appareil, mais garantit également qu’il a été configuré correctement et qu’il n’est pas, par exemple, exécuté avec d’anciens logiciels non pris en charge. Il vérifie l’identité de l’utilisateur, afin que les employés licenciés ne puissent pas se connecter. Et il contrôle l’accès à chaque application pour s’assurer que l’utilisateur a la permission d’y accéder.
[Lire également : comment Tanium fournit une visibilité des endpoints pour BeyondCorp de Google]
Les VPN, conçus pour la première fois par un ingénieur Microsoft en mid-1990s, fonctionnent en créant un « tunnel » temporaire et chiffré entre un routeur d’entreprise et le PC de l’employé. Ils ont été conçus pour donner à l’utilisateur un accès uniquement aux applications sur le réseau de l’entreprise, et ils n’étaient pas destinés aux connexions permanentes d’aujourd’hui.
La demande de solutions VPN ne disparaîtra pas rapidement, bien sûr. Non seulement de nombreuses entreprises ont choisi d’acheter plus de capacité plutôt que de passer à de nouvelles approches, mais les fournisseurs, y compris IBM, ont trouvé des moyens d’adapter leurs offres VPN pour les rendre plus basées sur le cloud.
Néanmoins, si le télétravail devient la réalité pour des millions d’employés, les administrateurs réseau devront sécuriser beaucoup plus d’appareils plus efficacement, et pas seulement les PC soigneusement configurés sur lesquels les employés travaillent depuis des décennies. Un accès sécurisé sera requis pour l’ordinateur portable à domicile, les appareils mobiles et tout nouveau client émergeant dans les années à venir. Cela signifie un terrain de recherche riche pour les cybervoleurs et les pirates informatiques, car plus d’appareils signifient plus d’opportunités de voler des mots de passe et d’autres informations d’identification.
Les fournisseurs technologiques s’associent de plus en plus pour résoudre ce problème de gestion byzantine. Tanium, par exemple, a annoncé un partenariat avec Google en 2020, afin que les entreprises utilisant notre système de gestion des endpoints et BeyondCorp puissent inspecter en continu tout le trafic sur un navigateur Chrome à la recherche de logiciels malveillants et d’autres menaces.
« Il y a une raison pour laquelle tout le monde aime détester le VPN », déclare John Pescatore, directeur des tendances émergentes en matière de sécurité à l’Institut SANS. « Vous devriez pouvoir travailler de la même manière, que vous vous connectiez depuis votre bureau, votre Wi-Fi domestique, ou depuis un parking ou une chambre d’hôtel, sans même avoir à savoir qu’il y a une chose appelée VPN. »
