Depuis des décennies, le réseau privé virtuel (VPN) fait partie intégrante du quotidien des professionnels travaillant en dehors du bureau. En voici un autre grand classique : se plaindre du VPN.
Les utilisateurs finaux se plaignent du temps supplémentaire que les VPN font perdre lors de la connexion au réseau de l'entreprise et subissent un ralentissement de leur accès à Internet une fois connectés. Les administrateurs réseau doivent répondre aux appels adressés au service d'assistance par ces utilisateurs mécontents. Tout le monde semble trouver les VPN peu pratiques, compliqués à utiliser et agaçants.
Et cela, c'était avant la pandémie. Traditionnellement, la plupart des entreprises achetaient juste assez de capacité VPN pour desservir environ 10 % de leurs employés à tout moment — ce qui était suffisant pour garantir que les commerciaux en tournée, les cadres supérieurs et d’autres collaborateurs puissent accomplir leur travail lorsqu’ils n’étaient pas au bureau.
Mais du jour au lendemain, tout le monde s'est retrouvé en télétravail, et à moins de pouvoir se procurer rapidement le matériel sur site nécessaire au fonctionnement des VPN traditionnels (appelés « concentrateurs VPN »), les entreprises ont eu beaucoup de mal à garantir à leurs collaborateurs des connexions sécurisées et fiables.
«Les entreprises ont dû multiplier par dix la capacité de leur VPN, et les utilisateurs constatent une baisse des performances sans précédent. »Richard Stiennon
« Ce qui n’était autrefois qu’un simple désagrément entrave désormais le bon déroulement des activités », déclare Richard Stiennon, fondateur d’IT-Harvest, une société spécialisée dans l’analyse de la sécurité. « Les entreprises ont dû multiplier par dix la capacité de leur VPN, et les utilisateurs constatent des performances plus médiocres que jamais. »
Dans un sondage mené par Tanium en juin 2020, les dirigeants ont en effet désigné les VPN surchargés comme le deuxième plus grand défi en matière de sécurité auquel ils étaient confrontés dans le cadre de la transition vers des effectifs de plus en plus dispersés. (Le premier défi consistait à identifier les nouveaux appareils informatiques sur le réseau, les télétravailleurs se connectant avec leurs appareils personnels.) En conséquence, 40 % ont déclaré qu'ils comptaient réduire leur dépendance à l'égard de cette technologie à l'avenir.
[À voir : Une bonne sécurité, c'est une informatique bien gérée]
Une des raisons : les équipes chargées de la cybersécurité ont dû consacrer tellement de temps à la mise en place de connexions sécurisées pour les télétravailleurs qu'elles en ont négligé d'autres tâches, explique M. Stiennon. Dans le sondage Tanium, 26 % des cadres dirigeants ont déclaré que leurs entreprises avaient dû reléguer au second plan l'application des correctifs et d'autres activités de sécurité au cours des premiers mois de la crise. In 2021, as the pandemic wears on, many companies are exploring more secure, scalable alternatives.
Il est temps de passer à la version supérieure
Heureusement, les entreprises disposent d'une alternative. Alors que de plus en plus de tâches numériques sont effectuées à l'aide de services basés sur le cloud — comme Microsoft360, Slack et Zoom —, les principaux fournisseurs ont mis au point des solutions plus rapides, plus automatisées et plus sécurisées que les VPN. « Cela rend de plus en plus les VPN obsolètes », déclare Rob Sadowski , responsable du marketing en matière de confiance et de sécurité chez Google Cloud, sur le site .
«L'intégration de l'accès à distance dans le cloud offre une meilleure expérience tant pour l'utilisateur que pour les administrateurs. »Alex J. Philips
« Les VPN ne constituent tout simplement pas la solution la plus adaptée à un effectif dispersé », explique M. Sadowski. « L'intégration de l'accès à distance dans le cloud offre une meilleure expérience tant pour l'utilisateur que pour les administrateurs. »
Alex J. Philips, directeur des systèmes d'information de la société National Oilwell Varco, dont le siège se trouve à Houston, partage cet avis. « Les VPN sont sans doute la principale source de problèmes dans mon domaine », déclare-t-il.
La société de services pétroliers mentionnée au paragraphe 2016 a mis hors service plus d'une douzaine de ses routeurs VPN et est passée à un service basé sur le cloud proposant des centaines de points d'accès à travers le monde. Un ingénieur à Singapour, par exemple, pourrait se connecter en toute sécurité à des applications hébergées dans le cloud sans avoir à utiliser un VPN. Il en a résulté une meilleure expérience utilisateur, que le salarié se connecte à l'application de gestion des notes de frais de l'entreprise ou utilise des services cloud tels que Zoom ou Slack.
« L'évolutivité constituait un autre avantage », explique M. Philips. Grâce au VPN, le nombre maximal d'employés connectés à distance s'élevait à 2 000. Lorsque la pandémie a éclaté, 9 000 employés étaient connectés en même temps. Le système cloud les a gérés sans le moindre problème.
[À lire également : Comment Bank of America se prépare à son avenir numérique]
« Pendant ce temps, toutes ces autres entreprises se bousculaient pour acquérir davantage de capacité VPN, à un moment où les chaînes d’approvisionnement mondiales s’effondraient et où il était impossible de se procurer du matériel supplémentaire », explique-t-il. « Si nous avions encore disposé de notre ancienne architecture VPN, je ne sais pas ce que nous aurions fait, mais cela aurait été un véritable calvaire. »
Les services basés sur le cloud offrent leurs propres fonctionnalités de sécurité intégrées, qui ne présentent pas les vulnérabilités inhérentes aux VPN. Google Cloud, par exemple, a développé une technologie open source appelée « » (BeyondCorp) afin que ses propres employés puissent se connecter en toute sécurité depuis le réseau Wi-Fi de leur domicile, ou depuis tout autre réseau non sécurisé, sans avoir à se soucier d'un VPN.
Lorsque la ville de New York a créé son Cyber Command afin de mettre en place une infrastructure commune pour l'ensemble des sites web et des services municipaux, les responsables ont opté pour Google Cloud, notamment parce que cette solution leur permettait d'éviter d'utiliser des VPN. « Ils emploient des agents chargés d’assurer la sécurité de la plus grande ville du pays, et ces agents doivent pouvoir accéder aux applications et ressources essentielles quand ils le souhaitent », explique M. Sadowski.
Gagner la confiance dans le modèle « zero trust »
Outre une bande passante pratiquement illimitée, BeyondCorp adopte une approche de sécurité dite « zéro confiance », dans laquelle les utilisateurs doivent prouver leur identité de plusieurs façons à chaque fois qu’ils se connectent aux systèmes, applications et sites web de l’entreprise. L'un des problèmes posés par les VPN traditionnels est qu'une fois que les utilisateurs ont accès à un réseau, ils ont toute latitude pour se rendre où bon leur semble — y compris, en théorie, dans les bases de données sensibles contenant des informations sur les clients et les salariés.
Récemment, des pirates informatiques ont réussi à accéder, via un VPN, au réseau d'une entreprise de traitement des eaux située à Oldsmar, en Floride, et ont failli parvenir à injecter des quantités dangereuses de soude caustique dans le réseau d'approvisionnement en eau, selon des informations parues dans la presse.
Un système « zero-trust » ne se contente pas de vérifier l'identité de chaque appareil, mais s'assure également qu'il a été correctement configuré et qu'il n'utilise pas, par exemple, de logiciels obsolètes ou dont le support a pris fin. Ce système vérifie l'identité de l'utilisateur, afin que les salariés licenciés ne puissent pas se connecter. De plus, il contrôle l'accès à chaque application afin de s'assurer que l'utilisateur dispose des autorisations nécessaires pour y accéder.
Les VPN ( ), initialement conçus par un ingénieur de Microsoft au mid-1990s, fonctionnent en créant un « tunnel » temporaire et crypté entre le routeur de l'entreprise et l'ordinateur de l'employé. Elles ont été conçues pour permettre à l'utilisateur d'accéder uniquement aux applications du réseau de l'entreprise, et n'étaient pas destinées aux connexions permanentes d'aujourd'hui.
La demande en solutions VPN ne disparaîtra bien sûr pas du jour au lendemain. Non seulement de nombreuses entreprises ont choisi d'acquérir davantage de capacité plutôt que d'adopter de nouvelles approches, mais des fournisseurs, dont IBM, ont trouvé des moyens d'adapter leurs offres de VPN afin de les orienter davantage vers le cloud.
Néanmoins, si le télétravail devient une réalité pour des millions de salariés, les administrateurs réseau devront sécuriser un nombre bien plus important d'appareils de manière plus efficace — et pas seulement les ordinateurs soigneusement configurés sur lesquels les salariés travaillent depuis des décennies. Un accès sécurisé sera nécessaire pour les ordinateurs portables personnels, les appareils mobiles et tous les nouveaux terminaux qui feront leur apparition dans les années à venir. Cela constitue donc un terrain de chasse idéal pour les cybercriminels et les pirates informatiques, car plus il y a d'appareils, plus les occasions de voler des mots de passe et d'autres identifiants sont nombreuses.
Les fournisseurs de technologies s'associent de plus en plus pour résoudre ce problème de gestion extrêmement complexe. Tanium, par exemple, a annoncé en 2020 un partenariat « » avec Google, afin que les entreprises utilisant notre système de gestion des terminaux et BeyondCorp puissent analyser en continu l'ensemble du trafic sur un navigateur Chrome à la recherche de logiciels malveillants et d'autres menaces.
« Il y a une raison pour laquelle tout le monde adore détester le VPN », déclare John Pescatore , expert en sécurité informatique () et directeur des tendances émergentes en matière de sécurité au SANS Institute. « Vous devriez pouvoir travailler de la même manière, que vous vous connectiez depuis votre bureau, via le Wi-Fi de votre domicile, depuis un parking ou une chambre d’hôtel, sans même avoir besoin de savoir qu’il existe une technologie appelée VPN. »
