Glossaire technique

Mode de chiffrement qui assure simultanément la confidentialité et l'intégrité des données. Le déchiffrement échoue si les données ont été modifiées en transit. AES-GCM et ChaCha20-Poly1305 sont des constructions AEAD.

Suite cryptographique combinant AES (Advanced Encryption Standard) en mode compteur 256 bits avec le mode d'authentification GCM (Galois/Counter Mode). Référence pour le chiffrement des tunnels VPN en entreprise — recommandée par l'ANSSI et le NIST.

Agence Nationale de la Sécurité des Systèmes d'Information. Autorité nationale française en matière de cybersécurité, publie des guides de recommandations techniques incluant les protocoles VPN et les suites cryptographiques admissibles.

Pratique permettant aux collaborateurs d'utiliser leurs terminaux personnels pour accéder aux ressources professionnelles. Introduit des contraintes de sécurité spécifiques car l'organisation ne maîtrise pas la posture de sécurité du terminal.

Entité de confiance qui émet et signe des certificats numériques. Dans une PKI d'entreprise, la CA racine doit être conservée hors ligne ; des CA intermédiaires assurent l'émission quotidienne. La compromission de la clé privée d'une CA invalide la confiance dans tous ses certificats émis.

Composant interposé entre les utilisateurs et les services cloud pour appliquer les politiques de sécurité : visibilité sur les usages, contrôle d'accès, DLP, protection contre les menaces. Souvent intégré dans des architectures SASE.

Construction AEAD alternative à AES-GCM. Plus performante sur les processeurs sans accélération matérielle AES (terminaux mobiles notamment). Utilisée par WireGuard comme seul algorithme de chiffrement symétrique.

Loi américaine de 2018 permettant aux autorités américaines d'exiger des entreprises soumises à la juridiction US l'accès à des données qu'elles détiennent, indépendamment de leur localisation physique. Pertinent pour l'évaluation des fournisseurs VPN d'entreprise établis aux États-Unis.

Attaque automatisée qui teste des combinaisons identifiant/mot de passe obtenues via des fuites de données sur d'autres services. Efficace contre les utilisateurs qui réutilisent leurs mots de passe. Vecteur d'attaque courant sur les endpoints VPN.

Fuite de requêtes DNS en dehors du tunnel VPN. Un observateur réseau peut inférer les domaines consultés même si le contenu des échanges est chiffré. Survient quand le système d'exploitation utilise ses serveurs DNS habituels plutôt que ceux configurés dans le tunnel.

Contrat obligatoire entre un responsable de traitement et ses sous-traitants au sens du RGPD (article 28). Un fournisseur de VPN managé qui traite des données de collaborateurs est un sous-traitant — l'absence de DPA est une non-conformité.

Protocole d'échange de clés basé sur la cryptographie elliptique. Permet à deux parties d'établir un secret partagé sur un canal non sécurisé. Utilisé dans IKEv2 et WireGuard pour dériver les clés de session.

Configuration VPN dans laquelle l'intégralité du trafic du terminal transite par le tunnel, y compris le trafic à destination de services externes. Offre la protection réseau maximale au prix d'une charge accrue sur l'infrastructure VPN. Contraire : split tunnel.

Protocole de négociation utilisé avec IPsec pour établir les Security Associations. Plus robuste qu'IKEv1 : supporte MOBIKE (roaming réseau), authentification EAP, et renouvellement automatique des SA. Recommandé par l'ANSSI pour les VPN d'accès distant en entreprise.

Suite de protocoles pour sécuriser les communications au niveau IP. Comprend AH (Authentication Header) pour l'intégrité, ESP (Encapsulating Security Payload) pour le chiffrement, et IKE pour la gestion des clés. Utilisé en mode tunnel pour les VPN site-à-site et accès distant.

Mécanisme qui coupe l'accès réseau du terminal si le tunnel VPN se déconnecte de façon imprévue. Évite l'exposition du trafic sur le réseau non protégé pendant la fenêtre de reconnexion. Pertinent en télétravail et sur réseaux publics.

Authentification reposant sur au moins deux facteurs distincts parmi : quelque chose que l'on sait (mot de passe), quelque chose que l'on possède (token, téléphone), quelque chose que l'on est (biométrie). Le SMS comme second facteur est déconseillé — vecteurs d'attaque SIM swapping et SS7.

Attaque dans laquelle un acteur malveillant s'interpose entre deux parties communicantes pour intercepter ou modifier les échanges. Principal vecteur sur les réseaux Wi-Fi publics non maîtrisés. Le VPN avec chiffrement fort protège contre ce type d'attaque sur la couche transport.

Directive européenne 2022/2555 entrée en vigueur en octobre 2024. Élargit le périmètre de la directive NIS initiale aux entités essentielles et importantes dans de nombreux secteurs. Impose des mesures de gestion des risques, la notification des incidents, et la sécurité des chaînes d'approvisionnement.

Engagement d'un fournisseur à ne pas conserver de journaux permettant d'identifier les connexions des utilisateurs. La valeur d'un tel engagement dépend de son périmètre précis (quels types de logs ?), de la vérification par audit tiers, et de la juridiction dans laquelle opère le fournisseur.

Solution VPN open source fonctionnant en espace utilisateur, utilisant TLS pour le canal de contrôle et UDP/TCP pour le canal de données. Très portable, supporte la traversée de NAT et pare-feu restrictifs via TCP 443. Moins performant que WireGuard en raison de son exécution hors noyau.

Composants architecturaux du modèle Zero Trust (NIST SP 800-207). Le PDP évalue les demandes d'accès selon la politique de sécurité ; le PEP applique la décision sur le flux réseau. Leur séparation permet une évaluation continue des accès plutôt qu'une autorisation ponctuelle à la connexion.

Propriété cryptographique garantissant que la compromission d'une clé à long terme ne compromet pas les clés de session passées. Chaque session génère ses propres clés éphémères. À activer explicitement dans les configurations IKEv2 — désactivé par défaut dans certaines implémentations.

Infrastructure gérant la création, la distribution, la révocation et le renouvellement des certificats numériques. Comprend les CA racine et intermédiaires, les CRL ou OCSP pour les révocations, et les politiques de gestion des clés. Prérequis pour l'authentification par certificat dans un VPN d'entreprise.

Règlement européen 2016/679 applicable depuis mai 2018. Encadre le traitement des données personnelles dans l'UE. Pertinent pour les VPN d'entreprise via les exigences sur les sous-traitants (article 28), les transferts hors UE (chapitre V), et la documentation des traitements (article 30).

Ensemble des paramètres de sécurité négociés entre deux pairs IPsec : algorithmes de chiffrement, clés, durée de validité. Une SA est unidirectionnelle ; un tunnel IPsec requiert deux SA. Les SA ont une durée de vie limitée et doivent être renouvelées automatiquement.

Cadre architectural défini par Gartner en 2019 convergeant réseau (SD-WAN) et sécurité (ZTNA, CASB, SWG, FWaaS) dans un service cloud unifié. Conçu pour les organisations distribuées sans datacenter central. L'intégration réelle des composants varie significativement selon les éditeurs.

Configuration VPN dans laquelle seul le trafic à destination de réseaux définis transite par le tunnel — le reste sort directement. Améliore les performances et réduit la charge sur l'infrastructure VPN, au prix d'une exposition du trafic exclu aux risques du réseau local.

Mécanisme permettant à un utilisateur de s'authentifier une seule fois pour accéder à plusieurs applications. L'intégration du VPN dans un SSO centralisé (via SAML/OIDC) permet une révocation automatique des accès VPN lors de la désactivation du compte.

Analyse d'impact requise depuis l'arrêt Schrems II (2020) pour les transferts de données personnelles hors UE. Évalue si le droit du pays de destination offre une protection équivalente au RGPD et si les mesures contractuelles supplémentaires sont efficaces.

Algorithme générisant un mot de passe valide pendant 30 secondes, basé sur un secret partagé et l'heure courante (RFC 6238). Implémenté via des applications d'authentification. Second facteur recommandé pour les connexions VPN — préférable au SMS.

Technologie créant un tunnel chiffré entre un terminal et un serveur, permettant de transiter des données confidentielles sur un réseau non maîtrisé. Dans un contexte entreprise, utilisé pour l'accès distant sécurisé au SI interne et la connexion de sites géographiques distants.

Protocole VPN moderne intégré au noyau Linux depuis la version 5.6 (2020). Surface de code réduite (~4 000 lignes), modèle cryptographique fixe (Noise Protocol Framework, Curve25519, ChaCha20-Poly1305, BLAKE2s). Performances supérieures à OpenVPN. Contrainte : algorithmes non négociables, incompatible avec les environnements exigeant FIPS (AES obligatoire).

Modèle de sécurité réseau partant du principe qu'aucune requête n'est accordée par défaut sur la base de la position réseau. L'accès est conditionnel à une vérification continue de l'identité, de la posture du terminal et du contexte. Défini formellement dans NIST SP 800-207. S'oppose au modèle périmétrique du VPN traditionnel.