L'Éducation nationale déploie un réseau VPN-IP desservant 20 000 PC

Dans le cadre de son projet Racine, le ministère de l'Éducation nationale a interconnecté ses cent cinquante sites administratifs à travers un réseau VPN-IP. L'objectif : allier la sécurité aux performances.

L'entreprise et sa problématique : Relier les sites administratifs du ministère en toute sécurité

Le réseau informatique du ministère de l'Éducation nationale repose sur des liaisons Transpac et Transfix, qui coûtent 2,44 millions d'euros par an. En les supprimant, le ministère peut investir dans un réseau qui ne dépend plus d'un seul opérateur et qui offre plus de sécurité.

L'informatique du ministère gère plus d'un million de personnes. Elle fédère, aussi, les cent cinquante services administratifs situés dans les trente académies de la France métropolitaine et d'outre-mer (30 rectorats, une centaine d'inspections académiques et services de l'administration centrale, entre autres). Le back-office du système d'information doit tenir compte des profils et droits d'accès des utilisateurs. Le projet Racine (Réseau d'accès et de consolidation des Intranet de l'Éducation) vise à interconnecter tous ces sites en un Intranet étendu et sécurisé.

" Bien que le flux administratif représente moins de 10 % de l'ensemble de son ensemble, il est le plus sensible. Les lois sur la protection des données nominatives et des informations privées, relatives aux dossiers des élèves et des professeurs, doivent être respectées ", indique Michel Affre, chef du bureau des études techniques et des plans d'informatisation du ministère de l'Éducation nationale.

Le cahier des charges : Offrir la qualité de service et la sécurité

Racine recherche avant tout les performances (augmentation et qualité des débits) et la sécurité (identification, authentification et confidentialité). Pour assurer la QoS, le ministère s'est appuyé sur les réseaux métropolitains de villes françaises où siège une académie (Grenoble, Besançon, Lyon, etc.). Pour sécuriser le réseau, il a été décidé de rendre les flux plus étanches au moyen d'un VPN-IP (Virtual private network). " Nous avons opté pour un dispositif de cryptographie asymétrique, afin que le secret ne soit pas partagé entre deux groupes d'utilisateurs. Nous voulions, aussi, qu'un organisme de confiance soit mis en place pour faciliter le déploiement de la sécurité. Enfin, nous nous sommes appuyés sur la norme IPSec. À terme, nous migrerons vers IP v. 6 ", note Michel Affre.

Les technologies choisies : Un VPN pour mettre en relation l'ensemble des sites

Pour retenir une solution de VPN, il a fallu un an et demi de tests. Après un appel d'offres, Cisco Systems a été choisi avec un boîtier PIX et des logiciels clients VPN Altiga 3000. Le VPN s'effectue via des routeurs filtrants Cisco PIX. Non seulement ces matériels réalisent, pour chaque site du ministère, les opérations cryptographiques (identification, authentification et chiffrement) sous la surveillance d'un ingénieur sécurité Racine (ISR), mais ils constituent aussi un premier niveau de sécurité, en agissant comme un pare-feu.

Un second niveau est assuré, selon les sites, par des pare-feu applicatifs (FireWall-1 et NetWall). Les certificats émis et transmis par les sites sont validés par l'autorité de certification Racine du projet, qui est installée à Toulouse.

Les produits et les fournisseurs retenus : Intégrateur Unisys, routeur filtrant Cisco, et certificats iPlanet

Unisys, intégrateur du projet, a réalisé une maquette préalable avant d'assister le ministère dans son déploiement général. Le projet, validé en janvier 2001, est opérationnel. " Unisys était le mieux-disant ; sa certification Cisco Gold a aussi joué en sa faveur ", observe Michel Affre. Chacun des 150 sites dispose d'un routeur filtrant Cisco PIX, protégeant 30 000 utilisateurs. Lorsque l'un des 20 000 postes fixes émet une requête vers Internet ou un site du ministère, sa demande passe par le boîtier VPN. L'ingénieur sécurité a préalablement enregistré son groupe d'utilisateurs avec leurs droits et leurs profils. Ces droits sont contenus dans un certificat, émis par le centre informatique de Toulouse et géré entre les boîtiers de site à site.

La cryptographie sur les boîtiers

Lorsque le boîtier émetteur a identifié puis authentifié le certificat (RSA 1 024 bits), il ouvre une session chiffrée (triple DES 128 bits) avec le boîtier destinataire. Ce dernier agit de même, puis transmet la requête. " Nous avons privilégié la cryptographie sur des boîtiers pour leurs performances ", décrit Michel Affre. Seuls les postes itinérants ou isolés sont gérés par des clients VPN Altiga installés sur chaque station. Quelque 10 000 certificats CMS, d'iPlanet, sont nécessaires pour l'instant.

Les projets à court terme : Signature électronique et extension des zones de confiance

D'ici à 2005, le ministère prévoit de développer un projet similaire à Racine pour permettre aux 1,3 million d'agents de signer électroniquement leurs documents. Une clé USB ou une carte à puce servira de support à la signature électronique. Cette dernière devrait alors être stockée sur un support capable de gérer les jetons d'accès aux clés de manière sécurisée. " Notre crainte n'est pas tant le nombre d'utilisateurs que les difficultés de portabilité de la signature sur tous les postes en fonction des usages développés autour de celle-ci ", souligne Michel Affre. Et de se demander si " la signature électronique sera confinée à l'Éducation nationale, ou étendue à tous les ministères, voire à l'usage privé des personnels à qui elle est attribuée ".

Par ailleurs, Racine permettra au ministère d'élargir ses zones de confiance. D'une part, en réalisant un Extranet académique sécurisé, avec sans doute une autorité de certification par académie, et une racine toujours à Toulouse. D'autre part, il s'agit à présent de relier la centaine de commissions départementales d'Éducation spéciale, qui dépendent à la fois de l'Éducation nationale et de lEmploi et de la Solidarité. Là aussi, la sécurité prime, puisque des dossiers médicaux sont transmis.