La plupart des systèmes d’exploitation et des outils de gestion de postes présupposent une connexion Internet permanente. Activation des licences, mises à jour, authentification dans le cloud, télémétrie : tout repose sur un lien constant avec l’extérieur. Bien des organisations ne s’en aperçoivent même pas. Mais pour celles qui exploitent des environnements sensibles, cette dépendance devient un vrai problème, parfois même un critère d’élimination.
ZeeOS adopte le parti pris inverse. Fonctionner sans Internet n’est pas une solution de repli en mode dégradé : c’est ce pour quoi le produit a été conçu, de l’installation jusqu’à l’usage quotidien.
Quand dépendre d’Internet devient un risque
La première raison de couper les postes d’Internet, c’est l’exposition. Toute machine reliée à l’extérieur est à la fois une porte d’entrée pour un attaquant et une voie de sortie pour les données. Supprimez ce chemin, et vous fermez le canal par lequel une information dérobée pourrait s’échapper.
La deuxième raison touche à la réglementation et à la souveraineté. Dans la défense, l’énergie, la santé ou la finance, l’isolement des systèmes les plus sensibles n’est pas un confort, c’est souvent une obligation de conformité.
La troisième est une question d’architecture. Les environnements industriels, OT ou SCADA, sont volontairement tenus à l’écart du réseau bureautique, pour qu’un incident survenu côté informatique de gestion ne puisse jamais remonter jusqu’aux systèmes qui font tourner la production.
La quatrième tient au terrain. Sites reculés, navires, usines, emprises isolées : autant de lieux où la connexion est faible, chère ou capricieuse, et où s’en remettre au cloud d’un éditeur, c’est s’en remettre à un lien qui fait souvent défaut.
Une précision de vocabulaire, car elle a son importance pour les gens du métier. Un réseau air-gapped n’est pas un réseau segmenté. Un réseau segmenté est cloisonné en zones, mais ces zones communiquent généralement encore par une passerelle commune, parfois ouverte sur Internet. Un réseau air-gapped, lui, n’offre aucune issue vers l’extérieur. Il n’y a pas de passerelle à verrouiller, tout simplement parce qu’aucune voie ne mène dehors. C’est exactement le terrain pour lequel ZeeOS a été pensé.
Peut-on tout de même garder la main sur un poste isolé ?
Couper un poste d’Internet règle un problème de sécurité, mais semble en soulever un autre : celui de l’administration. C’est la première objection que soulèvera un responsable informatique aguerri, et elle appelle une réponse honnête plutôt qu’un argumentaire.
Une fois la machine privée de tout accès vers l’extérieur, comment la déployer sans dépôt distant ? Comment authentifier les utilisateurs sans annuaire dans le cloud ? Comment la tenir à jour quand les correctifs ne se téléchargent plus tout seuls, sans la laisser prendre du retard sur les failles connues ? Comment garder l’œil sur le parc quand plus rien ne remonte vers un service extérieur ? Et comment préserver l’horloge et les certificats, ces mécanismes de confiance qui s’appuient d’habitude sur une ressource en ligne ?
Ces questions sont légitimes. ZeeOS y répond en déplaçant la dépendance, non pas en supprimant Internet, mais en la reportant sur une infrastructure que vous maîtrisez déjà.
Une autonomie de bout en bout
Tout part d’un constat simple : un environnement air-gapped dispose malgré tout d’un réseau interne. Il a ses serveurs, son annuaire, son infrastructure. Ce qui lui manque, c’est le pont vers l’extérieur. ZeeOS est conçu pour s’appuyer entièrement sur ce réseau interne, sans jamais chercher à en sortir.
Le déploiement se fait sur place, par PXE ou par clé USB, depuis votre propre console et non depuis une source distante. Aucune activation en ligne n’est nécessaire pour démarrer un poste.
L’administration et l’authentification se font sur le réseau. ZeeOS peut s’administrer via la Web Management Console (WMC), et si un Active Directory est déjà en place, il sait s’y raccorder. Dans un cas comme dans l’autre, aucune identité cloud n’intervient et rien ne sort du réseau. Tout le parc se pilote depuis la Web Management Console, installée sur votre réseau local et non dans le cloud d’un éditeur.
La confiance, elle aussi, se gère en interne. Les certificats qui protègent les échanges entre les postes et la console sont administrés au sein même de l’environnement ; et comme aucun renouvellement ne passe par une autorité extérieure, la question d’un accès vers le dehors ne se pose jamais. Reste un prérequis, le seul qu’il faut nommer sans détour : l’horloge. Un déploiement air-gapped a besoin d’un serveur NTP faisant autorité sur le réseau local pour garder des horloges synchrones, puisque les serveurs de temps publics sont par nature inaccessibles.
Les mises à jour franchissent la frontière comme il se doit dans tout environnement air-gapped bien tenu : par un transfert maîtrisé, jamais par un téléchargement automatique. Avec la Web Management Console sur le réseau local, elles sont préparées et diffusées en interne ; le parc reste ainsi à jour sans qu’aucune voie ne s’ouvre vers l’extérieur.
La supervision obéit à la même règle. Collecte des journaux et surveillance se font en local, à partir d’outils hébergés sur votre réseau, et la prise en main à distance pour le support reste cantonnée à l’enclave, sans jamais passer par un service extérieur. Quant aux licences, elles sont validées par un serveur local, sans le moindre appel vers le dehors.
Ce que cette autonomie permet
Dès lors que chaque dépendance réside sur votre propre réseau, l’isolement n’est plus une contrainte subie mais un choix parfaitement opérationnel. Et une même plateforme couvre toute la gamme des niveaux d’isolement.
Cas le plus fréquent : un réseau coupé d’Internet mais pourvu de sa propre infrastructure. ZeeOS y fonctionne avec sa Web Management Console et son serveur de licences en local, entièrement administrable, politiques, mises à jour et supervision comprises. C’est ce que la plupart des organisations ont en tête quand elles parlent d’air-gap, et c’est là que ZeeOS est le plus à son aise.
Cas le plus extrême : celui où l’on ne veut pas, ou ne peut pas, d’une infrastructure de gestion interne. Le boîtier ZeeTerm fonctionne alors seul, sans serveur de licences. C’est là que notre offre matérielle couvre un besoin hors de portée d’une solution purement logicielle : l’isolement absolu, jusqu’au poste unique et autonome.
Une réserve, en toute franchise. L’autonomie du système d’exploitation ne s’étend pas d’office à tout ce qu’il fait tourner. Un environnement VDI ou une application métier peut avoir ses propres dépendances externes, qu’il faut examiner au cas par cas. Ce que ZeeOS garantit, c’est que le poste lui-même ne demande rien à l’extérieur ; ce qui s’exécute par-dessus relève d’une autre analyse.
Il faut aussi répondre à un reproche parfois fait à l’air-gap en général : un réseau isolé, laissé tel quel, finirait par vieillir et, avec le temps, par devenir moins sûr, figé sur une sécurité d’un autre âge. Le risque est réel quand isolement rime avec immobilisme. C’est précisément ce qu’évitent les mises à jour maîtrisées via la Web Management Console : ZeeOS se tient à jour à l’intérieur du périmètre, si bien que l’isolement ne se paie jamais d’un retard qui s’accumule.
Chez ZeeOS, l’indépendance vis-à-vis d’Internet n’est pas une limite contournée a posteriori. C’est un choix d’architecture assumé dès le départ : chaque dépendance ramenée sur une infrastructure qui vous appartient, rien réclamé à l’extérieur, et une option matérielle pour les cas où même cela serait de trop. Pour les environnements qui ne tolèrent aucune ouverture vers le dehors, c’est toute la différence entre un produit rendu compatible avec l’isolement et un produit conçu pour lui.
Envie de voir ce que donne ZeeOS dans votre propre environnement isolé ? Nous pouvons vous ouvrir un accès d’essai pour le mettre à l’épreuve dans vos conditions.