Zero Trust Network Access ZTNA

Définition

Le Zero Trust Network Access (ZTNA) est un framework de sécurité réseau basé sur le principe qu'aucun utilisateur, appareil, ou connexion réseau n'est intrinsèquement de confiance, qu'il soit interne ou externe au réseau de l'organisation. Le ZTNA exige une vérification continue de l'identité, de la posture de l'appareil, et du contexte d'accès avant d'accorder l'accès aux applications et aux données. Contrairement aux VPN traditionnels qui accordent un accès réseau large une fois authentifié, le ZTNA suit le principe du moindre privilège au niveau applicatif : chaque accès est accordé uniquement pour l'application spécifique requise, pour la durée nécessaire, avec vérification continue. Si l'identité est compromise ou si la posture de l'appareil se dégrade, l'accès est automatiquement révoqué. Les composants techniques d'une architecture ZTNA incluent : un Identity Provider (IdP) pour l'authentification forte (MFA, SSO), un service de vérification de la posture des appareils (MDM, EDR), un proxy d'accès (le ZTNA controller ou broker) qui effectue la décision d'autorisation, et des connecteurs déployés près des applications qui reçoivent le trafic autorisé. Les applications ne sont jamais exposées directement sur Internet : elles ne sont visibles qu'après authentification auprès du service ZTNA. Les solutions ZTNA se divisent en deux modèles. Le ZTNA initié par le client (client-initiated) nécessite un agent sur l'appareil qui s'authentifie auprès du service ZTNA avant d'établir un tunnel vers l'application. Le ZTNA initié par le service (service-initiated) ne nécessite pas d'agent : un connecteur déployé près de l'application s'enregistre auprès du service cloud ZTNA, et les utilisateurs accèdent via un navigateur après authentification (modèle CloudFlare Access, Zscaler Private Access). Les fournisseurs ZTNA majeurs incluent Zscaler Private Access (ZPA), Cloudflare Access, Palo Alto Prisma Access, Cisco Duo Network Gateway, et les solutions intégrées dans les plateformes SASE (Secure Access Service Edge).