Qu'est-ce qu'une clé prépartagée ?

Une clé prépartagée (PSK) est une chaîne secrète configurée manuellement aux deux extrémités d'une connexion IKE ou IPsec afin que chaque pair puisse prouver son identité à l'autre. Il s'agit de la méthode d'authentification IKE la plus simple : pas d'autorité de certification, pas d'enregistrement, juste une chaîne identique que les deux parties connaissent déjà.

Points clés à retenir

• Un PSK est un secret partagé qui permet d'authentifier les deux extrémités d'un tunnel IKE.
• C'est l'alternative la plus simple à l'authentification par certificat (PKI).
• Les deux pairs doivent configurer la même clé, sinon la négociation échoue d'emblée.
• Les PSK conviennent aux liaisons de petite envergure ou ponctuelles ; les certificats offrent une meilleure évolutivité pour les flottes.
• Versa Les champs PSK rejettent plusieurs caractères spéciaux : il vaut mieux les éviter par mesure de sécurité " < > # / { }.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · PSK et Versa · FAQ

Pourquoi un PSK est-il important ?

Chaque tunnel IKE – le canal de contrôle sous-jacent à un VPN IPsec – doit répondre à une question avant de faire transiter le moindre trafic : le périphérique situé à l’autre bout est-il bien celui qu’il prétend être ? Une clé pré-partagée (PSK) répond à cette question grâce au mécanisme le plus simple qui soit : un secret que les deux parties détiennent déjà. Pas d’autorité de certification, pas d’enregistrement, pas de cycle de vie à gérer : c’est ce qui fait des PSK le moyen le plus rapide d’établir un tunnel, et la raison pour laquelle ils restent courants pour les liaisons vers des passerelles tierces, les installations de laboratoire et les connexions pour lesquelles une infrastructure à clé publique (PKI) serait disproportionnée par rapport aux besoins.

Le compromis est d'ordre opérationnel, et non cryptographique : une clé pré-partagée (PSK) est un secret statique distribué et renouvelé manuellement, et toute fuite expose tous les tunnels qui la partagent jusqu'à ce que quelqu'un procède au renouvellement de la clé partout. Savoir quand opter pour une PSK – et quand un certificat justifie son coût de mise en place – est une décision fondamentale dans tout déploiement de VPN ou de SD-WAN.

Qu'est-ce qu'un PSK ?

Une clé PSK est configurée dans le cadre des paramètres d’authentification d’un pair IKE aux deux extrémités d’un tunnel : chaque côté présente sa clé (généralement la même chaîne de caractères, bien que des clés asymétriques locales/de pair soient possibles), et IKE dérive un matériel de chiffrement qui prouve que chaque pair détient le secret – sans envoyer la clé elle-même sur le réseau. Ce processus se déroule pendant l’échange d’authentification IKE, avant l’établissement de l’association de sécurité IPsec qui protège le trafic de données.

La clé étant symétrique, les deux administrateurs doivent saisir exactement la même chaîne de caractères, faute de quoi l'échange échoue immédiatement, sans qu'aucun crédit partiel ne soit accordé. Les PSK fonctionnent aussi bien avec IKEv1 qu'avec IKEv2, et sont généralement associées à un type d'identité (une adresse IP, un nom de domaine complet ou une adresse e-mail) permettant d'identifier la clé à vérifier.

Types de déploiement du PSK

La clé PSK « par pair » (unique) attribue une clé distincte à chaque paire tunnel/périphérique – c’est la méthode la plus sûre, car la compromission d’une clé n’expose qu’une seule connexion, au prix d’une gestion plus complexe des secrets. La clé PSK « de groupe » (partagée) réutilise une seule clé sur plusieurs périphériques ; elle est plus rapide à déployer mais plus risquée : une seule fuite compromet tous les pairs qui l’utilisent – un compromis courant lors de la mise en place ou de l’intégration en masse, qui est ensuite remplacé par des clés uniques ou des certificats. La clé PSK « site à site » authentifie un tunnel fixe et de longue durée entre deux passerelles. La clé PSK d’accès à distance authentifie un tunnel initié par un client et est souvent associée à une méthode au niveau de l’utilisateur, telle que l’EAP, car un secret au niveau de l’appareil ne suffit pas à lui seul à identifier la personne qui l’utilise.

PSK & Versa

Les appareils VOS prennent en charge le PSK comme l'une des deux méthodes d'authentification IKE, aux côtés des certificats, et peuvent être configurés indépendamment pour l'authentification locale et l'authentification entre pairs dans un Profil VPN IPsecL'onglet « IKE ». Chaque partie associe sa clé à un type d'identité (adresse e-mail, nom de domaine complet ou adresse IP) et le champ rejette certains caractères spéciaux. La documentation relative au profil de Versan'est pas tout à fait cohérente sur ce point : ses noms en langage naturel " < > # /, tandis que son tableau de caractères spéciaux indique également { } comme non autorisées – et, paradoxalement, des notes / comme autorisé. Tant que cela n'aura pas été corrigé en amont, générez des clés qui évitent ces huit (" < > # / { }). L'authentification PSK apparaît également au niveau du tunnel site à site niveau pour les types de pairs tels qu’AWS Transit Gateway, Azure Virtual WAN, Zscaler et les tunnels gérés par l’ Versa Director, où les clés de tunnel principales et secondaires peuvent être saisies directement ou reportées aux données de liaison propres à chaque appareil au moment du déploiement. Pendant configuration initiale de l'appareil, le mode d'authentification IKE d'une organisation – PSK ou PKI – détermine la manière dont les périphériques des succursales s'authentifient initialement auprès du contrôleur, ce qui en fait l'une des premières décisions à prendre lors d'un déploiement.

Questions fréquentes

Quelle est la différence entre une clé PSK et un certificat pour l'authentification IKE ?

Une clé secrète partagée (PSK) est un secret commun que les deux pairs détiennent déjà ; un certificat est signé par une autorité de certification (CA) de confiance, ce qui permet de prouver l'identité sans divulguer de chaîne de caractères partagée. Les certificats offrent une évolutivité et une rotation plus sûres au sein de grands parcs ; les clés PSK sont plus rapides à configurer pour les petits déploiements.

Le protocole PSK est-il suffisamment sécurisé pour les VPN de production ?

Une clé pré-partagée (PSK) longue, aléatoire et unique à chaque tunnel est cryptographiquement sûre, mais le risque opérationnel réside dans sa distribution et sa rotation à grande échelle : une clé divulguée ou réutilisée compromet tous les tunnels qui la partagent. De nombreux déploiements utilisent des clés pré-partagées pour les liaisons temporaires ou de petite envergure, et des certificats pour l'ensemble du parc.

Quels sont les caractères interdits dans un PSK ?

Évitez les huit caractères suivants : guillemets, crochets angulaires, dièse, barre oblique, barre oblique inversée et accolades – " < > # / { }. La documentation de Versaprésente des incohérences concernant la barre oblique (le texte l'interdit, tandis que le tableau des caractères l'autorise) ; il est donc plus prudent de ne pas l'utiliser. Les lettres, les chiffres et la plupart des autres caractères sont autorisés.

Puis-je utiliser un PSK pour certains tunnels et des certificats pour d'autres ?

Oui. La méthode d'authentification est définie pour chaque profil VPN IPsec, et l'authentification locale et celle du pair peuvent même utiliser des méthodes différentes au sein d'un même profil ; une organisation peut ainsi combiner, selon ses besoins, des tunnels authentifiés par PSK et par certificat.

Que se passe-t-il si le PSK ne correspond pas des deux côtés ?

L'authentification IKE échoue et le tunnel ne s'établit jamais : aucune association de sécurité ne se forme, donc aucun trafic ne transite. Il n'y a pas de correspondance partielle ; les chaînes configurées doivent être identiques (sous réserve des configurations de clés asymétriques locales/de pair) sur les deux pairs.

En savoir plus sur le PSK

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au PSK, voici quelques liens qui pourraient vous intéresser.