Comment un appareil est durci de bout en bout
Durcir un terminal ne consiste pas à installer une application. C'est une séquence de contrôles qui commence au niveau du matériel, est gouvernée depuis l'EMM et est maintenue pendant toute la vie de l'appareil. Cette page réunit les trois piliers : gestion, communications et chiffrement.
Six couches, de bas en haut
Chaque couche dépend de la précédente. Une défaillance dans une couche basse invalide les couches supérieures ; c'est pourquoi l'ordre compte.
- 01
Matériel et démarrage vérifié
Appareils Galaxy avec Knox : racine de confiance matérielle, démarrage vérifié, Knox Warranty Bit et détection de manipulation. C'est la base sur laquelle reposent les autres couches.
- 02
Enrôlement obligatoire
Knox Mobile Enrollment lie le terminal à l'EMM de l'organisation dès le premier démarrage et après toute réinitialisation. Provisionnement NFC pour les mises en service massives.
- 03
Politique et restrictions (EMM)
Mot de passe et biométrie, chiffrement obligatoire, caméra, USB, Bluetooth, partage de connexion, boutique d'applications, captures d'écran, débogage. Des centaines de contrôles de Knox Platform for Enterprise appliqués par profil.
- 04
Applications et conteneur
Uniquement des applications approuvées, distribuées depuis un dépôt interne. Conteneur de travail séparé avec Knox Workspace et, lorsque cela est requis, chiffrement supplémentaire avec DualDAR.
- 05
Communications
VPN always-on avec blocage du trafic hors tunnel, VPN par application pour segmenter, certificats d'appareil délivrés par la PKI, TLS mutuel et, sur les réseaux classifiés, double tunnel.
- 06
Exploitation et réponse
Conformité continue, alertes, assistance à distance, effacement sélectif ou complet, révocation des certificats et retrait sécurisé avec preuve. Le tout journalisé pour l'audit.
Comment un parc est durci en pratique
Classifier
Quelles informations le terminal va traiter, sur quel réseau et avec quel niveau d'exposition. C'est de là que découle le profil.
Concevoir le profil
Politiques, applications, certificats, VPN et chiffrement par groupe. Le profil est documenté comme configuration de référence et confronté aux guides CCN-STIC et au STIG.
Provisionner
KME, NFC ou QR. Le terminal quitte le magasin déjà enrôlé, chiffré et avec le profil appliqué.
Exploiter
Conformité continue, mises à jour approuvées avec E-FOTA, assistance à distance et revue périodique de la configuration de référence.
Retirer
Effacement sécurisé vérifié, dissociation de Knox et de l'inventaire, certificat de retrait.
Quelle couche couvre chaque menace
| Menace | Contrôle principal | Couche | Pilier |
|---|---|---|---|
| Perte ou vol du terminal | Chiffrement au repos, DualDAR, verrouillage et effacement à distance | 01, 04, 06 | EMM + Chiffrement |
| Extraction de données par USB ou débogage | Restriction de l'USB, d'ADB et du transfert de fichiers | 03 | EMM |
| Application malveillante ou non autorisée | Liste d'applications autorisées, dépôt interne, conteneur | 04 | EMM |
| Interception sur un réseau non fiable | VPN always-on, TLS mutuel, certificats d'appareil | 05 | VPN |
| Accès latéral aux ressources internes | VPN par application et segmentation | 05 | VPN |
| Firmware manipulé ou obsolète | Démarrage vérifié, E-FOTA avec versions approuvées | 01, 06 | EMM |
| Terminal désenrôlé ou réinitialisé | KME : réenrôlement forcé après réinitialisation | 02 | EMM |
| Retrait sans garanties | Effacement sécurisé vérifié et certificat de retrait | 06 | EMM + Chiffrement |
Le durcissement est défini par écrit comme configuration de référence et versionné. Chaque modification du profil suit le même processus d'approbation qu'une modification d'un système classifié.
Évaluation gratuite de continuité MDM/EMM (45 minutes)
Une session technique avec un spécialiste pour examiner votre situation et vous remettre une recommandation exploitable. Sans engagement.
- Architecture actuelle et nombre d'appareils
- Criticité des données et contraintes réseau ou cloud
- Intégration avec Samsung Knox et parc mixte
- Options de transition et modèle de déploiement (on-prem, hybride ou cloud)