Isoler plutôt que détecter. Interposer plutôt qu’empiler. Deux entreprises françaises, sur des terrains très différents, la navigation web et le contrôle d’accès physique, défendent la même thèse : la cybersécurité la plus robuste n’est pas celle qui bloque les menaces, mais celle qui les rend inopérantes.
La navigation web sans contact
Face à une cybersécurité traditionnelle qui empile des couches de détection sans jamais vraiment résoudre le problème, deux approches radicalement différentes arrivent à la même conclusion : le meilleur rempart, c’est de ne plus être en contact direct avec la menace.
« Aujourd’hui, la cybersécurité, c’est une approche réactive. On empile des couches de solutions qui vont détecter et bloquer »
Édouard de Rémur, CEO chez VirtualBrowser et co-fondateur d’Oodrive.
La réponse de la société n’est pas un nouvel antivirus, ni un navigateur durci supplémentaire. C’est une rupture protocolaire : interposer un serveur distant entre la machine de l’utilisateur et le site web qu’il consulte. L’utilisateur navigue sur son Chrome, son Firefox ou son Safari habituel, sans rien installer. Mais techniquement, c’est un conteneur jetable hébergé en cloud ou on-premise qui se connecte au site à sa place, et lui renvoie uniquement un flux de pixels.
« Ce que voit l’attaquant, c’est uniquement une connexion depuis un serveur distant avec un Chromium et un Linux. Il ne sait pas qui vous êtes, où vous êtes. Même si vous allez sur le site web du hacker le plus dangereux au monde, il ne pourra pas vous toucher », résume Édouard de Rémur. Le code malveillant, le zero-day sur le navigateur, le ransomware : aucun ne peut remonter jusqu’au poste, puisque le poste n’est jamais en contact avec le web.
Cinq ans pour rendre l’invisible transparent
La technologie de rupture protocolaire n’est pas nouvelle. Ce qui l’était, en revanche, c’est de la rendre imperceptible pour l’utilisateur. « On a fait environ cinq ans de R&D pour rendre ce produit transparent », confirme Édouard de Rémur. « Si jamais l’utilisateur disait : ça change mon quotidien, soit c’est plus lent, soit ce n’est pas pareil, ça ne marchait pas. »
C’est cette transparence qui a débloqué la commercialisation à grande échelle. La démonstration est devenue l’argument de vente : on montre à un prospect qu’il est en surf isolé, il répond qu’il n’a rien vu. Des clients comme Thales déploient aujourd’hui la solution sur 15 000 postes, avec 100 % du trafic web routé via Virtual Browser. D’autres grands comptes industriels — que la société préfère ne pas nommer explicitement — ont remplacé leurs VDI ou leurs navigateurs durcis par un simple paramétrage proxy.
La logique granulaire permet aussi une approche par niveau de confiance : les sites connus sont accessibles avec tous les droits, les sites non catégorisés uniquement en lecture seule, sans clavier. « Si je n’ai pas confiance, j’y vais sans risque. C’est beaucoup plus simple d’autoriser une petite partie en whitelist plutôt que de bloquer une très grande partie de tous les sites à risque », explique-t-il. Pour le ministère des Affaires étrangères, cela se traduit concrètement : les ambassades accèdent aux sites non catégorisés en mode lecture seule, sans ticket IT, sans délai, sans risque.
Un badge qui ne sait pas qui vous êtes
Akidaia aborde la même problématique par un angle radicalement différent : le contrôle d’accès physique. Et le diagnostic de départ est identique.
« Toutes les solutions fonctionnaient sur la même architecture : un simple identifiant qui circule sur un réseau, qui arrive dans une base de données pour savoir si on peut rentrer ou pas »
Gaël Lededantec, CEO et cofondateur d’Akidaia.
Le problème, c’est que cet identifiant statique est copiable : les trois quarts des cambriolages impliquent des badges clonés explique Gaël Lededantec.
La réponse d’Akidaia : supprimer l’identifiant. Le lecteur de badge, un petit boîtier qui se branche directement sur la porte en quelques minutes, ne stocke aucune donnée et n’est connecté à aucun réseau. « Le lecteur ne sait pas que vous pouvez rentrer », résume Gaël Lededantec. Les droits d’accès sont décentralisés sur le smartphone ou le badge de l’utilisateur, sous forme de clés cryptographiques renouvelées en continu. La centrale de gestion dialogue directement avec le terminal de l’utilisateur, non avec le lecteur. Il n’y a plus de base de données centrale à compromettre, plus d’infrastructure réseau à déployer, plus de surface d’attaque cyber.
Des chantiers aux sites militaires
Le cas d’usage qui a convaincu les grands comptes du BTP — Vinci, Bouygues, Baudin-Châteauneuf — est d’une brutalité pratique : sur un chantier, tirer des câbles pour apporter réseau et électricité à chaque point d’accès représente des coûts et des délais sans rapport avec l’enjeu. Le boîtier Akidaia se branche, il est opérationnel. Les droits des ouvriers et sous-traitants sont générés automatiquement depuis l’outil de gestion des collaborateurs et poussés sur leurs smartphones. « En termes de simplicité et de réduction de coûts inutiles, on est bien positionnés », dit simplement Gaël Lededantec.
La RATP a suivi la même logique pour ses locaux techniques le long des voies ferrées — des centaines de portes qu’il serait économiquement absurde de raccorder à un système centralisé. Le ministère des Armées, via l’Agence Innovation Défense, a également qualifié la technologie. « Quand on entre dans la défense, c’est quand même bien pratique ce truc tout offline, quand on a plein de choses à garder secret », remarque Gaël Lededantec avec une certaine retenue.
Déplacer le problème, une idée vieille comme la guerre
Les deux fondateurs utilisent des métaphores similaires pour expliquer leur démarche, et elles convergent toutes vers la même idée : la meilleure protection n’est pas le bouclier le plus épais, mais l’esquive. Édouard de Rémur cite les goûteurs de l’Antiquité, les robots sur terrain miné, le drone militaire dont le pilote reste à l’abri à mille kilomètres.
Les deux sociétés jouent également la carte de la souveraineté : entièrement françaises, elles adressent des secteurs où la dépendance à des infrastructures étrangères est perçue comme un risque à part entière. Pour les décideurs qui cherchent à réduire cette dépendance autant que la surface d’attaque, l’argument est double.
Ce qui reste à construire, c’est la confiance dans la nouveauté. Les deux experts l’admettent volontiers : les grands comptes expérimentent avant de déployer, les mentalités évoluent lentement dans des secteurs habitués à des process vieux de plusieurs décennies. Mais la logique, elle, est implacable. Quand on ne peut pas être touché, on ne peut pas être compromis.
