Le navigateur Web est peut-être l'application la plus importante aujourd'hui sur les appareils des utilisateurs finaux. Sur le lieu de travail, de nombreuses personnes passent beaucoup de temps au travail sur un navigateur Web connecté à des applications internes et à des applications et services SaaS externes. Au fur et à mesure que le phénomène a grandi, les navigateurs ont dû devenir de plus en plus complexes afin de répondre à la richesse croissante du Web et aux exigences des applications Web modernes telles qu'Office 365 et Google Workspace.Cependant, malgré le rôle central et omniprésent des navigateurs Web, ils constituent l'application la moins contrôlée de l'entreprise. Les entreprises ont du mal à contrôler la manière dont les utilisateurs interagissent avec les navigateurs Web. Il est facile pour un utilisateur de télécharger par inadvertance un fichier infecté, d'installer une extension malveillante, de télécharger des données d'entreprise sensibles ou de cliquer sur un lien malveillant dans un e-mail ou sur une page Web.
L'aggravation du problème est la prévalence croissante du BYOD (Bring Your Own Device, une pratique qui consiste à utiliser ses équipements personnels (smartphone, ordinateur portable, tablette électronique) dans un contexte professionnel). Cela rend difficile de faire appliquer les politiques de l’entreprise (par exemple il n’est pas évident de faire que les collaborateurs utilisent tel navigateur et pas tel autre) ou de s’assurer qu'ils sont correctement mis à jour lorsque des correctifs sont disponibles. Les applications de mobile device management (ou « gestion de terminaux mobiles », ce sont des applications permettant la gestion d'une flotte d'appareils mobiles, qu'il s'agisse de tablettes, de smartphones, voire d'ordinateurs hybrides au format tablette ou d'ordinateurs portables) constituent un pas dans la bonne direction, mais elles peuvent souvent être trop lentes pour bien protéger les appareils contre les menaces zero day.
En fait, qu'il s'agisse de messagerie électronique, d'applications collaboratives telles que Slack ou Teams, ou d'un progiciel d'administration de projet, la plupart des tâches de bureau les plus couramment utilisées sont désormais accessibles via un navigateur Web. Bien qu'il soit moins difficile pour de nombreux employés d'accéder de manière transparente à leur équipement de travail, cela a également élargi les surfaces d'attaques, notamment pour des cybermenaces principalement basées sur le Web.
Face à la situation, une sélection croissante d’entreprises produit des systèmes d’isolation de navigateur.
Browser Isolation de Cloudflare
Dans le cadre de la semaine Zero Trust de Cloudflare, la société a annoncé la version bêta d’un nouveau service appelé Browser Isolation. Le service permet aux entreprises utilisant Cloudflare for Teams de tirer parti de son réseau pour parcourir en toute sécurité les sites dans le cloud, mais afficher les pages Web localement via votre navigateur.
Tim Obezuk, Principal Solutions Engineer chez Cloudflare, a tenté d'expliquer l'importance d'une telle solution qui viendrait notamment combler des lacunes apportées par les approches traditionnelles :
« Un navigateur Web, la même application qui connecte les utilisateurs à l'ensemble de l'Internet, vous connecte également à toutes les parties potentiellement dangereuses d'Internet. C’est une porte ouverte à presque tous les systèmes connectés de la planète, ce qui est à la fois génial et terrifiant.
« Nous comptons également plus que jamais sur les navigateurs. La plupart des applications que nous utilisons sont déployées dans un navigateur et leur nombre va continuer d'augmenter. Pour de plus en plus d'entreprises, un ordinateur portable d'entreprise n'est qu'un navigateur Web géré.
« Pour assurer la sécurité de ces appareils et des données qu’elles détiennent ou auxquelles elles accèdent, les entreprises ont commencé à déployer des services "d'isolation du navigateur" dont le principe est de ne pas exécuter le navigateur sur la machine. Au lieu de cela, le navigateur s'exécute sur une machine virtuelle dans un fournisseur de cloud quelque part. En lançant le navigateur ailleurs que sur l'appareil, les menaces restent sur cette machine virtuelle quelque part dans le cloud.
« Cependant, la plupart des solutions d'isolation adoptent l'une des deux approches qui ruinent à la fois la commodité et la flexibilité d'un navigateur Web :
- Des flux en direct du fonctionnement du navigateur isolé sont envoyés à l'utilisateur, ce qui est lent et rend difficiles les opérations de base telles que la saisie de texte dans un formulaire.
- Les pages Web sont décompressées, inspectées, reconditionnées avant d’être envoyées à l'utilisateur : parfois des menaces passent entre les mailles du filet ou, plus souvent encore, il arrive que le reconditionnement de la page Web n’est pas fait de manière à ce qu'elle fonctionne toujours.
« Aujourd'hui, nous sommes ravis de proposer une version bêta d'une troisième approche pour assurer la sécurité de la navigation Web avec Cloudflare Browser Isolation. Les sessions de navigateur s'exécutent dans des environnements en bac à sable dans les centres de données Cloudflare de 200 villes à travers le monde, une latence avec le navigateur distant de l’utilisateur de quelques millisecondes est observée pour que cela ressemble à une navigation Web locale.
« Au lieu de diffuser des pixels à l'utilisateur, Cloudflare Browser Isolation envoie la sortie (output) finale du rendu de la page Web d'un navigateur. L'approche signifie que la seule chose jamais envoyée à l'appareil est un paquet de commandes de dessin pour le rendu de la page Web, ce qui rend également Cloudflare Browser Isolation compatible avec tout navigateur compatible HTML5 ».
Rappelons qu’en janvier 2020, Cloudflare a annoncé avoir fait l’acquisition de S2 Systems Corporation. Une des principales raisons de l’achat était de posséder la technologie brevetée d’isolation de navigateur de S2 appelée Network Vector Rendering (NVR). Cloudflare emploie désormais cette technologie avec son nouveau service Browser Isolation (Isolation du navigateur).
Comment la navigation à distance sécurisée s'intègre-t-elle dans Cloudflare for Teams ?
Avant Browser Isolation de Cloudflare, Cloudflare for Teams se composait de deux services principaux :
- Cloudflare Access : crée un périmètre de réseau Zero Trust qui permet aux utilisateurs d'accéder aux applications d'entreprise sans avoir à percer des trous dans leur réseau interne avec une ancienne appliance VPN.
- Cloudflare Gateway : crée une passerelle Web sécurisée qui protège les utilisateurs contre les menaces sur n'importe quel site Web.
Ces outils protègent les propriétés Internet privées contre les accès non autorisés et les activités de navigation Web à partir de sites Web malveillants connus. Mais qu'en est-il des menaces inconnues et imprévisibles ?
Cloudflare Browser Isolation répond à cette question en mettant en bac à sable un navigateur Web dans un conteneur distant qui est facilement éliminé à la fin de la session de navigation de l'utilisateur ou lorsqu'il est compromis.
Si une menace inconnue telle qu'une vulnérabilité zero day ou un site Web malveillant exploitait l'une des centaines d'API Web, l'attaque est limitée à un navigateur s'exécutant dans un environnement cloud supervisé laissant l'appareil de l'utilisateur final inchangé.
Si Cloudflare Browser Isolation peut sembler attrayant pour les consommateurs, un porte-parole de Cloudflare a déclaré à Coywolf News que « Cloudflare Browser Isolation est un produit destiné aux entreprises, pas aux particuliers. Il n’est disponible que pour Cloudflare for Teams et n’est pas conçu pour la confidentialité de l’utilisateur final ». L’historique de navigation et la confidentialité sont déterminés par les entreprises utilisant le service : « Les entreprises peuvent définir quelles données sont conservées pour les employés utilisant leurs réseaux en fonction de leurs employés et de leurs politiques de confidentialité.»
Source : Cloudflare