Qu'est-ce que le ZTNA ?
Le ZTNA (accès réseau zero trust) est une approche de l'accès dans laquelle aucun utilisateur ni aucun appareil n'obtient la confiance du simple fait qu'il est sur le réseau. Chaque demande d'accès à une ressource est évaluée au regard d'une identité vérifiée et d'une politique, et l'accès est accordé de façon restreinte, à des applications ou des systèmes précis, plutôt qu'au réseau dans son ensemble. Il applique le principe du zero trust, « ne jamais faire confiance, toujours vérifier », à la question de savoir qui peut atteindre quoi.
Le ZTNA (accès réseau zero-trust) accorde l'accès à des applications précises en fonction d'une identité vérifiée et d'une politique, sans jamais accorder de confiance à un utilisateur ou à un appareil du simple fait qu'il est sur le réseau.
Ce qui définit le ZTNA
- 01
Piloté par l'identité et la politique : les décisions d'accès reposent sur qui ou quoi formule la demande et sur le fait qu'une politique l'autorise, et non sur l'emplacement réseau.
- 02
Moindre privilège : un utilisateur ou un service n'obtient l'accès qu'aux ressources précises dont il a besoin, et non à une large portée réseau.
- 03
Aucune confiance implicite : se connecter au réseau n'accorde rien en soi ; chaque session est vérifiée.
- 04
Les ressources restent masquées : les applications internes ne sont pas exposées à l'Internet ouvert, et on ne les atteint qu'à travers la couche d'accès, par des demandes autorisées.
ZTNA face à un VPN traditionnel
Un VPN traditionnel authentifie un utilisateur une fois, puis place son appareil sur le réseau, souvent avec une large portée : quiconque se connecte peut sonder tout ce que le routage autorise. Le ZTNA inverse cette logique : il accorde l'accès à des ressources individuelles, par session, sur la base d'une vérification continue, de sorte qu'un appareil connecté ne peut atteindre que ce qu'une politique autorise explicitement. Cela réduit considérablement le rayon d'impact d'un identifiant volé ou d'un appareil compromis, car il n'y a pas de réseau à plat à parcourir une fois que l'on est « entré ».
Comment le ZTNA est fourni
Le ZTNA se présente sous différentes formes. Les grands éditeurs de sécurité le proposent au sein de vastes plateformes SASE fournies dans le cloud, où un service mondial intermédie l'accès aux applications. D'autres implémentations intègrent l'accès zero trust dans un fabric ou un overlay réseau, en authentifiant chaque nœud et chaque session et en appliquant un accès de moindre privilège selon le rôle et le segment. Ce qu'elles ont en commun, c'est le principe : vérifier l'identité, accorder un accès minimal à des ressources précises, garder ces ressources hors de l'Internet ouvert, et journaliser chaque connexion.
Lien avec Vexaro Mesh (en développement)
Vexaro Mesh, actuellement en développement, est conçu pour appliquer les principes du zero trust à l'accès au sein de son maillage plutôt que comme une plateforme SASE autonome : chaque nœud et chaque session authentifiés et vérifiés par des politiques, un accès accordé par rôle, et des systèmes internes isolés de l'Internet public et accessibles uniquement via le fabric, chaque connexion étant journalisée et exportable vers votre SIEM.
Voir les fonctions prévues