La version réseau de l'agent des services frontaliers. Montrez-moi vos papiers!

Le NAC (802.1X avec EAP-TLS) devient cet agent. Et comme ceux aux postes frontaliers, il a rarement le sens de l'humour. Son travail, c'est de tenir les indésirables à l'écart! Si un appareil ne peut pas présenter un certificat valide signé par la PKI que l'agent vérifie, il n'accède pas au réseau. Point final!

Supposons un instant que toutes vos imprimantes (même les très vieilles) acceptent un certificat et que le processus puisse être automatisé, pour éviter des semaines d'effort à chaque renouvellement. Imaginons que tous vos appareils IoT adorent recevoir des certificats et que vous disposiez d'une excellente façon de les gérer. Accordons même que tous vos équipements médicaux, vos systèmes de contrôle du bâtiment et vos caméras de surveillance soient compatibles. Magnifique, voilà une solide façon de garantir qu'aucun appareil malveillant ne se retrouve sur votre réseau!

La réalité, par contre, c'est que la plupart des organisations doivent composer avec des exceptions. Et en plein déploiement, la solution facile devient le « filtrage MAC » pour les appareils qui ne peuvent pas ou ne veulent tout simplement pas prendre de certificat. Votre projet de haute sécurité vient donc de s'abaisser au plus petit dénominateur commun, en réintroduisant la possibilité d'usurpation d'adresse MAC. Le projet en valait-il la peine? Ça, c'est une décision d'affaires.

Disons que vous allez de l'avant, en acceptant que votre exposition résiduelle à l'usurpation MAC vit désormais dans une liste d'exceptions qui ne fait que grandir. Vous devez maintenant bien comprendre qu'une panne de PKI entraîne une panne complète du réseau, et que l'accès réseau sur lequel vous comptiez pour réparer la PKI a disparu lui aussi. Je n'essaie pas de vous décourager. J'ai déjà été du côté de ceux qui regardent quelqu'un se brancher sur un port ouvert et exposer tous nos petits secrets honteux (ouf, c'était un testeur d'intrusion). Je veux simplement m'assurer que vous traitez ça comme un véritable projet de PKI (pas un projet réseau) et que vous planifiez les modes de défaillance avant le déploiement plutôt que pendant une panne.