Relations de confiance, zero trust et zones réseau
Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 11 minutes
Le NIST définit une relation de confiance comme une alliance entre composants sécurisés, fondée sur des critères d’interaction, de comportement et de résultats, pour la protection des actifs. Sur un réseau, établir cette confiance est un défi permanent : comment être sûr de parler à la bonne organisation, et non à un site qui l’usurpe ?
Trois formes d’authentification qui construisent la confiance
Section titled “Trois formes d’authentification qui construisent la confiance”- Authentification inversée — le site répondant s’authentifie auprès de l’expéditeur (le certificat d’un site bancaire, par exemple).
- Authentification mutuelle — les deux parties échangent des certificats.
- Authentification de nœud (en amont) — l’appareil appelant doit fournir son adresse MAC ou IP au site appelé.
Les trois types de relations de confiance entre domaines
Section titled “Les trois types de relations de confiance entre domaines”| Type | Principe |
|---|---|
| Confiance à sens unique | Le domaine A fait confiance au domaine B : les utilisateurs de A accèdent aux ressources de B, jamais l’inverse. |
| Confiance bidirectionnelle | A fait confiance à B et B fait confiance à A : les demandes d’authentification circulent dans les deux sens. |
| Confiance transitive | Si A fait confiance à B et B fait confiance à C, alors A peut étendre sa confiance à C — ou un sous-répertoire hérite de la confiance de son répertoire parent. |
Chacune de ces relations peut en outre être transitive ou non-transitive selon sa configuration précise.
Le modèle zero trust
Section titled “Le modèle zero trust”L’idée de « confiance zéro » vient de la sécurité réseau : aucune entité, à l’intérieur comme à l’extérieur du périmètre, n’est considérée comme fiable par défaut — contrairement aux modèles traditionnels qui s’appuient sur un réseau interne de confiance protégé par un pare-feu.
Principes clés du zero trust appliqués au réseau :
- vérifier chaque demande d’accès, de façon continue et granulaire, à chaque tentative ;
- moindre privilège — n’accorder que le niveau d’accès minimal nécessaire ;
- microsegmentation — créer des périmètres de sécurité réduits autour de ressources individuelles, pour contenir toute brèche et empêcher les mouvements latéraux ;
- surveillance et inspection continues du trafic, du comportement et des contrôles ;
- chiffrement des données, en transit et au repos.
Le zero trust dépasse largement le seul réseau et s’étend à presque tous les aspects de l’IT :
- IAM — accès accordé sur authentification et autorisation continues, pas sur des identifiants statiques ou l’emplacement réseau ;
- sécurité des points d’accès — un appareil doit prouver en permanence sa posture de sécurité ;
- sécurité applicative — codage sécurisé, security by design, auto-protection des applications en exécution (RASP) ;
- protection des données — chiffrement, classification et contrôle d’accès au moindre privilège appliqués en continu ;
- sécurité cloud — contrôles d’accès, chiffrement et surveillance cohérents entre sur site et cloud ;
- DevSecOps — tests de sécurité automatisés et surveillance continue intégrés au cycle CI/CD ;
- sécurité de la chaîne d’approvisionnement — limites de confiance explicites entre composants, fournisseurs et partenaires.
Les quatre architectures de confiance réseau
Section titled “Les quatre architectures de confiance réseau”| Architecture | Portée | Caractéristique |
|---|---|---|
| Internet | Mondiale | Système de réseaux interconnectés via TCP/IP ; le web n’en est qu’un service parmi d’autres (avec e-mail, transfert de fichiers, etc.). |
| Intranet | Interne à l’organisation | Réseau TCP/IP accessible aux seuls membres autorisés, protégé par un pare-feu de l’accès direct extérieur. |
| Extranet | Partenaires externes ciblés | Extension contrôlée de l’intranet à des utilisateurs externes (partenaires, fournisseurs), isolée du reste d’Internet. |
| DMZ | Zone tampon | Segmentation entre réseau interne et réseau externe, hébergeant les services qui doivent être accessibles depuis Internet sans exposer le réseau interne. |
Dans une configuration DMZ typique, un hôte reçoit les demandes du réseau privé vers le réseau public et peut initier des sessions vers l’extérieur — mais ne peut jamais initier une session vers le réseau privé : il ne fait que transmettre les réponses aux requêtes déjà demandées. Cette asymétrie est précisément ce qui protège le réseau interne.
Synthèse
Section titled “Synthèse”- La confiance entre domaines se construit sur trois formes d’authentification (inversée, mutuelle, de nœud) et se structure en relations à sens unique, bidirectionnelles ou transitives.
- Le zero trust généralise un principe simple — ne jamais faire confiance par défaut, toujours vérifier — à l’IAM, aux points d’accès, aux applications, aux données, au cloud et à la chaîne d’approvisionnement.
- Internet, Intranet, Extranet et DMZ forment quatre architectures de confiance aux niveaux d’exposition très différents — la DMZ assurant une asymétrie stricte : l’hôte interne peut initier vers l’extérieur, jamais l’inverse.
Prochain chapitre
Section titled “Prochain chapitre”Cycle de vie de l’identité et preuve d’identité
Junior TSAFACK – 09/10/2026