Zero Trust : ne jamais faire confiance, toujours vérifier

Le Zero Trust est une manière de sécuriser un système d'information qui tient en une phrase : ne jamais faire confiance, toujours vérifier. Concrètement, personne n'obtient un accès simplement parce qu'il se trouve déjà « à l'intérieur » du réseau de l'entreprise. Chaque connexion, chaque demande d'accès à un fichier ou à une application est vérifiée comme si elle venait d'un inconnu. Cette page pose le principe général, sans prérequis technique : d'où vient l'idée, pourquoi l'ancien réseau interne « sûr » ne tient plus, et ce que le Zero Trust change. Sa mise en œuvre dans le cloud (normes, composants techniques, migration par étapes) est traitée dans le guide Zero Trust cloud.

Ce que vous allez apprendre

Le Zero Trust est aujourd'hui une référence courante des grandes organisations et des services cloud (des serveurs et logiciels loués à distance plutôt qu'installés dans ses propres locaux). En lisant cette page, vous saurez :

• Définir le Zero Trust et le distinguer de l'ancien modèle dit périmétrique (protéger une frontière unique autour du réseau).
• Reconnaître les trois principes popularisés par Microsoft (vérifier explicitement, limiter les droits, supposer la brèche) et situer la définition officielle du NIST SP 800-207, avec ses points de décision et d'application.
• Comprendre pourquoi le télétravail et le cloud ont rendu la frontière du réseau obsolète.
• Suivre un scénario concret d'attaque bloquée par le Zero Trust.
• Situer le Zero Trust par rapport aux types de mesures et à la défense en profondeur.
• Éviter le piège le plus fréquent : croire que le Zero Trust s'achète comme un logiciel.

Qu'est-ce que le Zero Trust

Le Zero Trust (« confiance zéro » en anglais) est un modèle de sécurité qui part d'un principe simple : la position d'une personne ou d'une machine sur le réseau ne prouve rien. Être connecté au réseau de l'entreprise ne suffit pas pour accéder aux données. Chaque demande d'accès doit être justifiée par une identité vérifiée (qui êtes-vous ?) et par un contexte acceptable (depuis quel appareil, à quelle heure, pour faire quoi ?).

Dans le modèle périmétrique, une fois entré, l'attaquant circule librement à l'intérieur ; en Zero Trust, chaque accès est authentifié et autorisé, sans confiance implicite. Source · SVG

Échap pour fermer, + et − pour zoomer, défilement pour se déplacer. 100 % − Ajuster + Fermer

Le Zero Trust s'oppose au modèle périmétrique, longtemps dominant. Celui-ci concentre les contrôles sur une frontière unique, le pare-feu, qui filtre ce qui entre et sort du réseau. Tout ce qui se trouve à l'intérieur est réputé digne de confiance du seul fait de sa position réseau, et circule sans contrôle supplémentaire. La faiblesse est structurelle : un attaquant qui obtient un seul accès interne, par un poste compromis ou des identifiants volés, se déplace ensuite sans rencontrer d'obstacle.

Le Zero Trust abandonne cette confiance automatique. Chaque requête est authentifiée et autorisée pour elle-même, quel que soit son point d'origine : une connexion venue du réseau interne subit les mêmes contrôles qu'une connexion venue d'Internet. Un service qui en appelle un autre présente son identité à chaque appel, les autorisations sont évaluées au moment de l'accès et non une fois pour toutes, et un accès obtenu ne vaut jamais un laissez-passer permanent pour le reste du système.

Les principes clés

La formulation la plus répandue auprès des débutants vient de Microsoft, qui présente le Zero Trust dans son guide en trois principes qui se complètent : vérifier explicitement, utiliser le moindre privilège et supposer la brèche. Ce n'est pas la définition officielle, qui est celle du NIST (voir la section sur la norme NIST SP 800-207), mais un résumé d'éditeur très pratique : le comprendre suffit à saisir l'esprit du modèle, sans entrer dans la technique.

Le premier principe de cette formulation est la vérification explicite. Chaque demande d'accès est contrôlée, à chaque fois, jamais « une fois pour toutes ». On vérifie deux choses : l'identité (prouver qui l'on est, souvent avec un mot de passe plus un code envoyé sur le téléphone, ce qu'on appelle l'authentification à plusieurs facteurs) et le contexte (l'appareil est-il à jour ? la demande vient-elle d'un lieu habituel ?). Un accès accordé le matin peut être redemandé l'après-midi si le contexte a changé.

Le deuxième principe est le moindre privilège. Chaque personne, chaque programme ne reçoit que les droits strictement nécessaires à sa tâche, et rien de plus. Un comptable accède aux fichiers de comptabilité, pas au code source du produit. L'idée est de réduire les dégâts possibles : si un compte est piraté, l'attaquant n'hérite que de ces droits limités, pas des clés de tout le système. Ce principe a sa propre leçon, le moindre privilège.

Le troisième principe est de supposer la brèche. On conçoit le système comme si un attaquant était déjà présent à l'intérieur. En pratique, cela signifie chiffrer tous les échanges même internes (les rendre illisibles sans la bonne clé), journaliser les accès (garder une trace de qui a fait quoi) et surveiller les comportements anormaux. Plutôt que d'espérer qu'aucun intrus n'entrera, on se prépare à le détecter vite et à limiter sa progression.

Pourquoi le périmètre ne suffit plus

Le modèle du château fort a fonctionné tant que tout le monde travaillait au bureau, sur des machines de l'entreprise, connectées au réseau interne. Ce n'est plus le cas, et trois évolutions ont fait tomber la muraille.

D'abord le télétravail. Les salariés se connectent depuis chez eux, depuis un train, depuis un café. La frontière du réseau n'existe plus vraiment : les utilisateurs sont partout. Protéger un périmètre n'a plus de sens quand les personnes à protéger sont dispersées.

Ensuite le cloud. Les applications et les données ne vivent plus uniquement dans une salle serveur de l'entreprise, mais chez des fournisseurs externes accessibles par Internet. Il n'y a plus une seule muraille à défendre, mais une multitude de services répartis, chacun avec sa propre porte d'entrée.

Enfin, le périmètre ne protège pas contre le mouvement latéral. Ce terme désigne la façon dont un attaquant, une fois entré sur une première machine, se déplace de proche en proche vers d'autres machines et d'autres données. Dans un château fort sans contrôle interne, cette progression est facile. Le Zero Trust la bloque, car chaque nouvelle porte redemande une preuve que l'attaquant ne possède pas. Cette progression de machine en machine est l'une des tactiques décrites par MITRE ATT&CK, le catalogue des comportements observés chez les attaquants.

Un scénario concret

Prenons une situation réaliste. Une employée reçoit un courriel de hameçonnage (un message piégé qui imite un expéditeur de confiance pour la pousser à cliquer). Elle ouvre une pièce jointe, et un programme malveillant s'installe discrètement sur son ordinateur portable. L'attaquant contrôle désormais cette machine.

Dans le modèle périmétrique classique, la partie est presque terminée pour la victime. L'ordinateur est « à l'intérieur » du réseau, donc considéré comme de confiance. L'attaquant explore le réseau, trouve un serveur de fichiers accessible sans mot de passe supplémentaire, copie des données sensibles, puis rebondit vers d'autres serveurs. En quelques heures, une seule machine compromise devient une fuite de données de grande ampleur.

Dans un modèle Zero Trust, le même clic n'a pas les mêmes conséquences. L'ordinateur compromis n'a accès qu'aux quelques applications autorisées à cette employée, et chacune redemande une preuve (une authentification à plusieurs facteurs, un appareil reconnu) que le programme malveillant ne peut pas fournir à lui seul. Les échanges entre serveurs sont chiffrés et authentifiés, donc l'attaquant ne peut pas se faire passer pour un service légitime. Enfin, son comportement anormal (des tentatives d'accès inhabituelles) déclenche une alerte, et l'équipe sécurité isole la machine. L'incident reste limité à un poste, au lieu de contaminer toute l'organisation.

Quel lien avec les types de mesures et la défense en profondeur ?

Le Zero Trust n'est ni une mesure de sécurité ni une couche de plus : c'est une manière de choisir et d'agencer des mesures. Chacun de ses trois principes se traduit en mesures que la leçon sur les types de mesures apprend à classer. Vérifier explicitement et limiter les droits relèvent du préventif : l'authentification à plusieurs facteurs et l'autorisation à chaque accès empêchent l'attaque d'aboutir. Supposer la brèche ajoute du détectif (journaliser, alerter) et du correctif (isoler la machine compromise), qu'un réseau périmétrique, presque entièrement préventif, laisse souvent de côté.

Le lien avec la défense en profondeur est tout aussi direct. Cette dernière empile des protections de natures différentes, du pare-feu aux données chiffrées. Le Zero Trust reprend l'idée et la pousse à l'intérieur du réseau : chaque application, chaque base de données devient sa propre couche, avec son propre contrôle d'accès. Le pare-feu reste utile comme première couche, mais il cesse d'être la seule : franchir la frontière ne donne plus aucun droit.

Que dit la norme NIST SP 800-207 ?

La référence officielle du Zero Trust est la publication NIST SP 800-207, Zero Trust Architecture, parue en août 2020. Elle définit le Zero Trust comme un ensemble de concepts qui visent à réduire l'incertitude de chaque décision d'accès, accordée au moindre privilège et requête par requête, en traitant le réseau comme s'il était déjà compromis. Une architecture Zero Trust est alors le plan de sécurité d'une organisation qui applique ces concepts : composants, flux de travail et règles d'accès.

Le document découpe le système en deux plans. Le plan de contrôle (control plane) est l'endroit où les décisions se prennent ; le plan de données (data plane) est celui où circulent les échanges réels. Deux rôles font le lien. Le point de décision (Policy Decision Point, PDP) évalue la demande à la lumière de la politique, de l'identité, de l'état de l'appareil et du contexte, puis autorise ou refuse. Le point d'application (Policy Enforcement Point, PEP) est le garde posté devant la ressource : il laisse passer, surveille ou coupe la connexion selon l'ordre du point de décision.

Le NIST énonce par ailleurs sept principes, qu'il appelle des tenets. Ils posent par exemple que toute source de données et tout service sont des ressources à protéger, que les communications sont sécurisées quelle que soit leur localisation et que l'accès est accordé session par session. Le guide Zero Trust cloud détaille ces sept principes et leur mise en oeuvre dans le cloud : cette leçon n'en garde que l'idée générale.

Pièges courants

Le Zero Trust est un modèle, pas une recette magique, et plusieurs malentendus reviennent souvent. Les connaître évite de dépenser du temps et de l'argent dans la mauvaise direction.

Le piège le plus répandu est de croire que le Zero Trust est un produit à acheter. De nombreux éditeurs vendent des solutions estampillées « Zero Trust », mais aucun logiciel ne rend à lui seul une organisation « Zero Trust ». C'est une façon de concevoir la sécurité, qui se met en place progressivement, application par application. Acheter un outil sans changer sa manière d'accorder les accès ne change rien au fond.

Un deuxième piège est de vouloir tout transformer d'un coup, en un grand projet unique. Le passage au Zero Trust est graduel : on commence par centraliser les identités, on ajoute l'authentification à plusieurs facteurs, puis on resserre les droits, service après service. Vouloir tout basculer d'un seul coup mène à des blocages et à l'abandon.

Un troisième piège est d'oublier l'expérience des utilisateurs. Si on demande un code de vérification cinquante fois par jour, les gens cherchent des contournements qui affaiblissent la sécurité. Le bon Zero Trust vérifie souvent, mais intelligemment : il ne redemande une preuve que lorsque le contexte l'exige vraiment. Enfin, il ne faut pas se limiter aux humains : les programmes qui se parlent entre eux doivent aussi prouver leur identité, sinon une faille subsiste.

Zero Trust n'est pas la suppression du VPN

On lit parfois que le Zero Trust consisterait à « supprimer le VPN » (le tunnel chiffré qui relie un télétravailleur au réseau). C'est inexact. Le Zero Trust ne supprime pas les contrôles d'accès, il les renforce : il remplace l'accès à tout le réseau par un accès limité, vérifié et journalisé à chaque application, ce qui est plus strict, pas moins.

À retenir

1. La position réseau ne vaut pas confiance. Être « à l'intérieur » du réseau ne donne aucun droit : un intrus interne doit être bloqué comme un intrus externe. La décision d'autoriser repose sur « qui » et « dans quel contexte », plus sur « où ».

2. Trois principes (formulation Microsoft). On vérifie explicitement l'identité et le contexte à chaque accès, on applique le moindre privilège pour limiter les dégâts, on suppose la brèche en chiffrant, journalisant et surveillant comme si l'attaquant était déjà là.

3. La définition officielle est celle du NIST SP 800-207. Un point de décision (PDP) évalue chaque demande et un point d'application (PEP) la laisse passer ou la coupe ; les « trois principes » sont la formulation de Microsoft, pas celle de la norme.

4. Le Zero Trust n'est pas un produit. C'est un modèle qui se déploie progressivement, pas un logiciel qui s'installe en une fois, et il ne supprime pas les contrôles d'accès : il les renforce.

5. Il combine les types de mesures. Du préventif pour vérifier et limiter, du détectif et du correctif pour supposer la brèche, avec la défense en profondeur poussée à l'intérieur du réseau.

6. Il bloque le mouvement latéral. Chaque nouvelle porte redemande une preuve, donc une machine compromise ne donne pas accès à tout le reste.

Contrôle de connaissances

Six questions tirées sur huit : la fin de la confiance implicite, la vérification de chaque accès, l'hypothèse de la brèche et le lien avec la défense en profondeur.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →