Le Zero Trust comme méthode, appliqué par une identité adossée au matériel : la YubiKey
Nous appliquons le Zero Trust comme méthode. C'est une philosophie de sécurité fondée sur le principe ne jamais faire confiance, toujours vérifier et sur un accès strictement limité au moindre privilège. Dans notre fonctionnement, cette méthode repose sur une identité adossée au matériel, grâce aux YubiKeys. L'identité, l'authentification et les autorisations des ingénieurs sont liées à une clé privée physique et non extractible, qui exige à la fois un PIN et une pression humaine pour chaque opération. L'accès ne peut ainsi être ni délégué, ni partagé, ni hameçonné, ni utilisé à leur insu par des machines compromises.
Associées à Keycloak, Teleport et Netbird, les YubiKeys nous permettent d'appliquer de vrais principes Zero Trust sur les serveurs, les clusters et les services internes : chaque action est explicitement vérifiée, rattachée à une personne, journalisée et limitée au périmètre minimal nécessaire.
Nous proposons trois méthodes d'accès sécurisé aux serveurs Linux et aux clusters Kubernetes.
Quelle que soit l'option choisie, nous recommandons vivement de limiter leur connectivité réseau aux seuls systèmes que nous gérons, selon le principe du moindre privilège.
Nous proposons deux méthodes d'accès SSH durcies :
Une petite VM au sein de votre réseau établit vers notre infrastructure un tunnel sortant limité au SSH. Tout accès par ce tunnel est authentifié exclusivement par des clés SSH stockées sur des YubiKeys (pression requise, avec des PIN à 8 chiffres).
Cette version ne crée pas de connexion sortante. Elle écoute sur le port 22 au sein de votre réseau et n'est joignable que depuis nos adresses IP fixes et dédiées au Danemark, en Allemagne et en Finlande, ce qui assure la redondance.
Les deux modèles de bastion peuvent tourner sur une VM isolée ou dans votre cluster Kubernetes pour la haute disponibilité.
En alternative aux bastions SSH, nous pouvons déployer Netbird, un VPN open source qui utilise le protocole Wireguard.
Netbird s'intègre directement à Keycloak, ce qui permet une authentification centralisée, la MFA et des politiques d'accès fines sans identifiants statiques.
Les droits d'accès sont liés aux identités des utilisateurs, et toute l'activité peut être auditée via Netbird et Keycloak, pour une sécurité forte et une visibilité complète.
Pour l'accès à Kubernetes, nous utilisons des méthodes d'accès adossées au matériel et tenant compte de l'identité, et activons l'authentification OIDC via Keycloak sur l'API Kubernetes.
Pour l'accès aux serveurs Linux, nous activons l'authentification par clés SSH, chacune associée à la YubiKey d'une personne.
Teleport fournit un accès sécurisé et centralisé à Kubernetes avec :
Tout le trafic Teleport passe par des passerelles déployées dans votre environnement.
Nous recevons généralement des droits cluster-admin ou de niveau opérateur, pour pouvoir diagnostiquer et résoudre les problèmes sans vous réveiller. Vous gardez toutefois le contrôle total des niveaux d'accès finaux.
Si des mots de passe ou d'autres identifiants sont nécessaires, ils sont stockés dans notre dépôt privé, géré avec le logiciel open source passwordstore.org et protégé par nos jetons matériels YubiKey :
Dès que possible, nous évitons complètement les mots de passe et privilégions Keycloak ou une authentification matérielle.
Que ce soit via Teleport ou Netbird, vous bénéficiez d'une visibilité complète sur :
Les logs peuvent être intégrés à vos systèmes de supervision et de journalisation comme aux nôtres.