Def Con Research vise ZTNA, l’appelle un buste

Zero Trust Network Access (ZTNA) a été promu par les fournisseurs au cours des dernières années comme une approche fondamentale pour la sécurité du réseau. La prémisse de base est de ne jamais faire confiance et de toujours vérifier.

Bien que les idées de base derrière ZTNA soient valides, ce marché de plusieurs milliards de dollars a été confronté à une évaluation brutale à Def Con 2025 lorsque des chercheurs en sécurité britanniques d’Amberwolf ont démontré de graves vulnérabilités à travers trois grands fournisseurs de ZTNA.

L’équipe de recherche a trouvé des contournements d’authentification complets dans toutes les plateformes testées. L’harmonie Sase de Check Point contenait des clés de chiffrement à code dur qui exposent les données des clients via des journaux de diagnostic. L’implémentation SAML de Zscaler n’a pas réussi à valider les signatures, permettant aux attaquants de forger des jetons d’authentification. Netskope a souffert de vulnérabilités croisées qui permettent aux attaquants de compromettre toute organisation utilisant des jetons d’inscription divulgués.

Au-delà des défauts individuels, les chercheurs ont systématiquement vaincu le concept fondamental de la vérification de la posture des appareils. Ils ont développé des outils que la fausse conformité vérifie l’antivirus, les pare-feu, le chiffrement du disque et les empreintes digitales matérielles sur toutes les principales plateformes. Le plus dommageable, ils ont démontré comment les attaquants peuvent voler des configurations de ZTNA et les rejouer à partir de systèmes non surveillés.

Les résultats révèlent des problèmes architecturaux qui contredisent les principes zéro-frust. Plutôt que de vérifier la fiabilité des appareils et des utilisateurs, ces solutions accordent une énorme confiance dans l’infrastructure des fournisseurs et les contrôles de sécurité côté client.

« Plutôt que de ne jamais faire confiance, de toujours vérifier, nous avons constaté que c’était plus, » toujours confiance, ne vérifiez jamais «  », a déclaré le chercheur d’Amberwolf, David Cash, lors de la session.

Les vulnérabilités principales des fournisseurs couvrent l’authentification et les défauts de conception

La recherche a exposé des vulnérabilités critiques à travers le point de contrôle, le zscaler et le netskope qui sont tombés dans trois catégories principales: contournement d’authentification, échecs de stockage des informations d’identification et exploitation croisée.

Vulnérabilités de contournement d’authentification

La mise en œuvre de SAML de Zscaler contenait le défaut d’authentification le plus sévère. Les chercheurs ont découvert que la signature sur l’affirmation de SAML n’a été vérifiée que la présence, et elle n’était pas validée par rapport à la clé publique du fournisseur d’identité. Cela a permis de compléter l’authentification du fournisseur d’identité en forgeant les réponses SAML avec des signatures non valides.

Netskope a souffert d’un pontage similaire mais plus fondamental. L’API d’inscription ne nécessitait aucune authentification, permettant aux attaquants d’enregistrer des appareils à l’aide de clés d’organisation divulguées et d’adresses e-mail valides.

La vulnérabilité de Check Point a été centrée sur les clés de chiffrement à code dur intégrées dans les binaires des clients. Ces clés ont protégé les téléchargements de journal de diagnostic contenant des jetons Web JSON (JWTS) qui ont vécu pendant 30 jours pour créer un scénario de compromis potentiel pour tout client qui avait téléchargé des journaux à prendre en charge.

Stockage d’identification et défauts de gestion des jetons

Les trois fournisseurs ont mis en œuvre des mécanismes de stockage faibles de faiblesse. Les informations d’authentification de token de jeton stockées ZSCaler dans le registre Windows dans le texte clair, permettant aux attaquants locaux d’extraire les jetons et d’identiter tout utilisateur en modifiant les valeurs de registre. Les jetons «Secure Inscription» de NetSkope ont utilisé le chiffrement DPAPI avec une protection insuffisante.

Réponse et correction des vendeurs

Les réponses des fournisseurs variaient considérablement en vitesse et en efficacité. Selon les chercheurs, Zscaler a répondu le plus rapidement, corrigeant initialement leur vulnérabilité SAML (CVE-2025-54982) dans les quatre heures. Cependant, le correctif a introduit des problèmes de compatibilité nécessitant un recul avant la mise en œuvre d’une solution permanente.

Le point de vérification a immédiatement supprimé l’accès en lecture SFTP lors de la divulgation, mais a des vulnérabilités supplémentaires encore sous la divulgation responsable. NetSkope a résolu son problème de cross-locataire dans la version 126 le 12 mai 2025, mais n’émet pas de CVE pour les correctifs côté serveur malgré une autorité de numérotation de certificat.

Un modèle préoccupant a émergé autour des vulnérabilités héritées. Le contournement d’authentification original de NetSkope (CVE-2024-7401) a été divulgué en avril 2024 mais est resté exploitable dans les environnements de production en août 2025. Le conseil a noté que la vulnérabilité «a été exploitée dans la nature par des chasseurs de primes de bogue», mais les organisations ont continué à gérer des configurations vulnérables.

Les contradictions de la fiducie architecturale sapent les principes zéro-frust

La recherche a révélé des contradictions fondamentales entre le marketing zéro-frust et la réalité de la mise en œuvre.

Toutes les solutions ZTNA installent des certificats racinaires de confiance pour l’inspection du trafic, créant des dépendances de confiance centralisées qui contredisent les principes de noyau zéro-frust. Cette architecture exige que les organisations fassent complètement confiance aux infrastructures des fournisseurs.

La contradiction de la fiducie s’étend au-delà de l’inspection du trafic aux hypothèses de sécurité fondamentales. Plutôt que de mettre en œuvre une vérification continue, les chercheurs ont affirmé que ces produits reposent fortement sur les contrôles de sécurité côté client et l’intégrité des infrastructures des fournisseurs. Cela représente un écart significatif par rapport aux principes zéro-frust qui assument un compromis et nécessitent une validation constante.

Meilleures pratiques pour réduire le risque de ZTNA

Les chercheurs n’ont pas simplement permis de trous dans ZTNA, ils ont également fourni des conseils pour brancher ces trous. Les chercheurs d’Amberwolf suggèrent que les utilisateurs de ZTNA prennent les mesures suivantes pour atténuer le risque potentiel:

Actions immédiates critiques

• Mettez à jour tous les clients ZTNA vers les dernières versions, quel que soit le statut CVE publié.
• Activez les vérifications de la posture validées par le côté serveur lorsque cela est pris en charge par les fournisseurs.
• Implémentez les fonctionnalités de vérification de conformité sécurisées cryptographiquement.

Surveillance et détection améliorées

• Surveillez les journaux ZTNA pour les nouvelles inscriptions de périphériques à partir d’emplacements inattendus, les modifications rapides de l’état de vérification de la posture et les utilisateurs avec plusieurs appareils.
• Déployer les règles EDR ciblant l’accès au registre sensible, l’injection de processus dans les clients ZTNA et les processus enfants inattendus.
• Activer l’audit DPAPI via Microsoft-Windows-Crypto-DPAPI / Debug Logging pour détecter l’extraction des informations d’identification.

Durcissement de la configuration

• Audit et minimiser les règles de pontage basées sur le domaine, en les examinant régulièrement pour abus.
• Implémentez la segmentation du réseau indépendamment de l’application des politiques ZTNA.
• Établir des horaires de rotation des jetons d’authentification et demanter la transparence des fournisseurs sur les architectures de sécurité.

« En conclusion, eh bien, il s’avère qu’il n’y a pas de haricots ZTNA magiques, nous avons les mêmes anciennes classes de bogues repensées pour une nouvelle pile technologique », a déclaré le chercheur d’Amberwolf, Richard Warren. « Plutôt que de zéro confiance, nous mettons en fait beaucoup de confiance dans ces fournisseurs pour traiter nos données en toute sécurité. »