Zero Trust et identité numérique : la sécurité sans périmètre
Le vieux modèle « château fort » ne protège plus rien. Le Zero Trust, la PKI et les acteurs de l'identité comme Entrust redéfinissent la confiance numérique.
Pendant des décennies, la sécurité informatique a fonctionné comme un château fort : un mur d'enceinte (le pare-feu), un pont-levis (le VPN), et à l'intérieur, on faisait implicitement confiance à tout le monde. Ce modèle — dit « périmétrique » — s'est effondré avec le cloud, le télétravail, le SaaS et les partenaires externes : il n'y a plus de « dedans » ni de « dehors » clairs. D'où un principe devenu la norme : le Zero Trust.
« Ne jamais faire confiance, toujours vérifier »
Le Zero Trust part d'un postulat radical : aucune requête n'est fiable par défaut, même venant de l'intérieur du réseau. Chaque accès est authentifié, autorisé et chiffré, en fonction de l'identité et du contexte : qui êtes-vous, depuis quel appareil (est-il à jour, sain ?), d'où, à quelle heure, pour quelle ressource. Le NIST a formalisé cette approche dans sa publication SP 800-207, qui fait aujourd'hui référence.
La confiance n'est plus liée à l'emplacement réseau, mais à une identité vérifiée à chaque requête. Le périmètre, désormais, c'est l'identité.
L'identité comme nouveau périmètre, et la PKI
Dans ce modèle, l'identité devient la pièce maîtresse — celle des humains, mais aussi des serveurs, des services et des objets connectés. Une grande partie de cette confiance repose sur la cryptographie à clé publique et la PKI (Public Key Infrastructure) : des certificats numériques émis par une autorité de confiance qui attestent « cette clé publique appartient bien à telle entité ». C'est le même mécanisme qui, via TLS, protège chaque connexion HTTPS de votre navigateur (le petit cadenas).
Les acteurs de la confiance : l'exemple d'Entrust
Tout un secteur s'est spécialisé dans ces fondations. Entrust (société nord-américaine, issue notamment de la fusion Entrust + Datacard) est un acteur historique de l'identité et du chiffrement : émission de certificats, infrastructures PKI, modules matériels de sécurité (HSM — via l'acquisition de nCipher) qui protègent physiquement les clés cryptographiques, authentification forte, émission de cartes et solutions d'identité vérifiée. Ces briques sont vitales pour les banques et les fintechs, tenues de prouver l'identité de leurs clients (KYC) et de sécuriser des transactions sensibles.
Ce que ça change concrètement
Adopter le Zero Trust n'est pas acheter un produit, mais faire évoluer une architecture, pièce par pièce :
- MFA partout — l'authentification à plusieurs facteurs, idéalement résistante au phishing (clés FIDO2/passkeys).
- Moindre privilège — chacun n'a accès qu'à ce dont il a strictement besoin, et pour la durée nécessaire.
- Micro-segmentation — cloisonner le réseau pour qu'une compromission ne se propage pas.
- Chiffrement de bout en bout et journalisation systématique pour détecter les anomalies.
Le Zero Trust ne rend pas invulnérable, mais il réduit drématiquement la surface d'attaque et limite les dégâts d'une intrusion — dans un monde où la question n'est plus « si » mais « quand ».