Sélection de la langue

Government of Canada / Gouvernement du Canada

Les réseaux privés virtuels (ITSAP.80.101)

Un réseau privé virtuel (RPV) est une connexion sécurisée qui permet d’accéder à distance au réseau d’une organisation. Le RPV sert de tunnel par l’entremise duquel des utilisatrices et utilisateurs peuvent envoyer et recevoir des données de façon sécurisée et ainsi travailler comme s’ils se trouvaient sur les lieux. Nous présentons ici quelques facteurs que les organisations devraient considérer avant d’utiliser les technologies de RPV à des fins professionnelles.

Sur cette page

Fonctionnement des RPV

Un RPV dissimule les données entrantes et sortantes qui traversent un tunnel sécurisé. Le tunnel du RPV chiffre les données qui sont transmises entre deux parties par l’intermédiaire d’un réseau non fiable, comme Internet.

Types de RPV

Votre organisation peut choisir parmi divers types de RPV :

  • De passerelle à passerelle : connexion de deux réseaux au moyen d’un RPV établi sur un réseau public, qui permet de sécuriser tout le trafic transmis de l’un à l’autre. On utilise généralement ce type de RPV pour connecter des lieux de travail distants;
  • D’hôte à passerelle (accès à distance) : connexion permettant d’accéder à distance à un réseau d’entreprise (par exemple, à partir du portable d’une ou un employé en télétravail;
  • D’hôte à hôte : connexion permettant de connecter un hôte à une ressource particulière se trouvant sur un réseau d’entreprise ou à un autre hôte en particulier;
  • RPV tiers : connexion sécurisée entre un point d’accès public (comme le réseau Wi-Fi d’un aéroport ou d’un hôtel) et le RPV d’un fournisseur tiers. Ce dernier redirige alors le trafic de manière à ce qu’il semble provenir de son réseau.

Protocoles

Les protocoles les plus souvent utilisés pour les RPV sont la sécurité du protocole Internet (IPsec pour Internet Protocol Security) et le protocole de sécurité de la couche transport (TLS pour Transport Layer Security).

Dans un premier lieu, il est recommandé d’utiliser le protocole IPsec pour l’accès au RPV. Comme le protocole IPsec est une norme ouverte, n’importe qui peut mettre en place un client ou un serveur compatible avec les autres mises en œuvre IPsec.

Les RPV basés sur le protocole TLS ont souvent recours à des fonctionnalités non standard ou sur mesure pour acheminer le trafic au moyen de ce protocole. L’utilisation de telles fonctionnalités peut exposer votre organisation à des risques additionnels, même si les produits sont configurés au moyen de paramètres TLS sécurisés.

Sélection d’un RPV

Avant de sélectionner un RPV, votre organisation devrait déterminer ses capacités et ses exigences opérationnelles, puis évaluer les risques. Comme indiqué, les deux protocoles les plus courants, les protocoles IPsec et TLS, déterminent la façon dont les données sont envoyées, reçues et sécurisées.

Le protocole IPsec comporte deux modes facultatifs (les modes transport et tunnel) que votre organisation pourrait envisager selon ses besoins et ses capacités à configurer l’une ou l’autre de ces options.

  • En mode transport, l’en-tête IP d’origine est conservé et seules les données utiles dans le paquet IP d’origine sont chiffrées. Ce mode est moins complexe que le mode tunnel et on l’utilise pour les communications directes entre deux hôtes au sein d’un tunnel IPsec sécurisé préalablement établi.
  • En mode tunnel, le paquet IP d’origine est entièrement encapsulé dans un nouveau paquet IP. Un nouvel en-tête IP est ajouté au début du paquet d’origine.
    • Il convient d’utiliser ce mode pour protéger le trafic entre différents réseaux ou pour connecter des succursales distantes de façon sécurisée.
    • Le mode tunnel est souvent utilisé pour les RPV organisationnels.

Plusieurs systèmes d’exploitation comportent déjà un client RPV basé sur le protocole IPsec et aucun autre produit n’est requis pour déployer un tel RPV. Toutefois, comme certains réseaux de tierces parties limitent ou bloquent le trafic IPsec, vos appareils mobiles pourraient ne pas être en mesure de se connecter au RPV.

Un RPV basé sur le protocole TLS peut être sans client et accessible à partir d’un navigateur Web. Dans cette configuration, il est important d’imposer des restrictions rigoureuses en matière de sécurité sur le serveur, puisque le protocole TLS employé dans un navigateur Web est conçu pour accéder aux sites Web au moyen du protocole HTTPS. Cette configuration pose également des risques pour les interfaces Web publiques dans la mesure où elle les rend plus vulnérables à la tunnellisation partagée.

L’interopérabilité est rarement possible lorsque les RPV basés sur le protocole TLS ont recours à un client et à un serveur de tierces parties. Les deux éléments utilisés par votre organisation devront être fournis par un même fournisseur. Bien que le protocole TLS soit normalisé, la façon dont il est utilisé pour créer un RPV ne fait l’objet d’aucune normalisation.

Votre organisation devrait déterminer ses besoins en matière de sécurité avant de choisir un cadriciel pour le protocole de son RPV.

Risques liés à l’utilisation d’un RPV

La sécurité fournie par une solution de RPV dépend de la configuration adoptée et d’une utilisation uniforme au sein de votre organisation. Avant de procéder à l’achat d’une telle solution, votre organisation devrait s’assurer qu’elle respecte ses politiques de sécurité et les normes mentionnées dans la présente publication. La solution de RPV doit également se conformer aux besoins prévus de votre organisation, puisque ceux-ci peuvent avoir une incidence sur le choix du RPV.

Certains facteurs peuvent accroître les risques pour votre organisation dans les circonstances suivantes :

  • Un RPV pourrait ne pas être en mesure de fournir le niveau de sécurité voulu s’il est mal configuré ou si des modules de chiffrement n’ayant pas obtenu la certification du Programme de validation des modules cryptographiques (PVMC) (en anglais seulement) sont acceptés ou mis en place;
    • Un certificat du PVMC est obtenu dans le cadre d’un programme de validation conjoint entre le National Institute of Standards and Technology des États-Unis et le Centre canadien pour la cybersécurité;
    • Ce programme offre aux organismes fédéraux une mesure de la sécurité afin de les aider à acquérir l’équipement approprié;
  • Les auteurs de menace peuvent s’attaquer aux vulnérabilités des RPV pour les exploiter dans le but d’obtenir un accès et de collecter des données sensibles;
    • Voici des exemples de telles attaques :
      • collecte de justificatifs d’identité;
      • exécution de code à distance sur le dispositif RPV;
      • affaiblissement et détournement possible des sessions du trafic;
    • Des systèmes désuets peuvent accroître le risque de vulnérabilités;
    • Vous devriez vous assurer d’utiliser les plus récents correctifs et les plus récentes versions pour garantir que le système est à jour et fonctionne de manière optimale;
  • Certaines pratiques comme la tunnellisation partagée peuvent nuire grandement à la sécurité du RPV;
    • La tunnellisation partagée vous permet de diviser le trafic réseau et d’acheminer certaines données par l’entremise d’un tunnel RPV chiffré, et les autres par l’intermédiaire d’un réseau ouvert;
    • Cette pratique permet d’établir un pont potentiel entre l’Internet ouvert et le tunnel sécurisé, ce qui met à risque vos données;
    • Votre organisation devrait éviter la tunnellisation partagée dans la mesure du possible.

N’oubliez pas qu’un RPV ne peut assurer votre sécurité si les utilisatrices et utilisateurs cliquent sur un lien malveillant ou téléchargent du contenu infecté.

Protéger vos données au moyen d’un RPV

Pour bien comprendre les risques associés à l’utilisation d’un RPV, votre organisation devrait déterminer le type et la valeur des données transmises ou accessibles par l’entremise de ce dernier. Vous devriez mettre en place des politiques claires sur l’utilisation que font les employées et employés du RPV pour accéder à distance aux serveurs de votre organisation.

Il est fortement recommandé de configurer le protocole IPsec ou TLS conformément à ce qui est indiqué dans le document Conseils sur la configuration sécurisée des protocoles réseau (ITSP.40.062).

Les organisations qui utilisent une solution de RPV devraient tenir compte des normes suivantes de l’industrie :

  • Restreindre l’accès externe au dispositif RPV en fonction du port et du protocole;
    • Pour les RPV basés sur le protocole IPsec, n’autoriser que les ports UDP 500 et 4500 seulement et encapsuler la charge utile de sécurité (mode transport);
    • Pour les RPV basés sur le protocole TLS, n’autoriser que le port TCP 443 seulement ou d’autres ports et protocoles nécessaires. Limiter les ports et protocoles supplémentaires, dans la mesure du possible;
  • Appliquer régulièrement les correctifs à l’interface Web si des RPV basés sur le protocole TLS sont utilisés;
  • Imposer l’utilisation d’un RPV qui respecte la posture de sécurité et les capacités de votre organisation, dans la mesure du possible;
    • Imposer l’utilisation d’un RPV ou de la tunnellisation lorsque l’organisation envoie l’ensemble de ses données en procédant au chiffrement du RPV;
    • Cela comprend la navigation sur Internet et l’accès à distance, puisqu’il s’agit d’une méthode plus sûre que la tunnellisation partagée;
  • Activer l’authentification multifacteur (AMF) et faire appel à des facteurs résistants à l’hameçonnage, notamment :
    • un authentificateur d’application;
    • la biométrie;
    • des jetons matériels;
  • Exiger que les employées et employés utilisent un poste de travail avec accès privilégié lorsqu’ils doivent accéder à des comptes sensibles (administrateur ou utilisateurs privilégiés) au moyen d’un RPV;
  • Mettre en place des contrôles gérés par l’organisation pour s’assurer que les employées et employés utilisent un RPV au moment de se connecter à tout réseau qui n’a pas recours aux capacités de sécurité de votre organisation, comme un Wi-Fi public;
  • Protéger et surveiller l’accès au RPV en cours d’utilisation ou en provenance de celui-ci. Les capacités de votre RPV devraient tenir compte des pratiques de sécurité courantes, dont les suivantes :
    • systèmes de prévention d’intrusion (journalisation et surveillance);
    • pare-feu d’applications Web;
    • segmentation réseau;
  • Mettre en œuvre le chiffrement sur la couche d’application avant que les données ne soient envoyées par l’intermédiaire d’un RPV si la confidentialité des données soulève des préoccupations.

Renseignements supplémentaires

Pour de plus amples renseignements, nous vous recommandons également de passer en revue les conseils de nos organismes partenaires que l’on retrouve dans la présente, en particulier ceux du National Cyber Security Centre du Royaume-Uni et le document conjoint de la National Security Agency et de la Cybersecurity and Infrastructure Security Agency des États-Unis.

Date de modification :