Certificats en usine : pourquoi le chiffrement seul ne suffit pas

Pourquoi la sécurité OT est différente de la sécurité IT

Au bureau, les systèmes sont mis à jour chaque mois et redémarrés pendant la nuit. En production, c’est souvent impossible :

• Longues durées de vie: Machines et automates tournent quinze ou vingt ans — bien plus longtemps que la durée de support de n’importe quel système d’exploitation.
• Pas d’arrêt possible: Mises à jour et redémarrages signifient arrêt de la production. Ils sont planifiés des mois à l’avance, quand ils ont lieu.
• Des protocoles anciens: De nombreux appareils communiquent sans chiffrement et ne peuvent pas vérifier avec qui ils échangent.
• Des réseaux plats: Une fois à l’intérieur, un attaquant peut souvent atteindre tous les appareils, car le réseau n’a jamais été découpé en zones.

C’est pourquoi la sécurité OT ne peut pas reposer sur la protection de chaque appareil par lui-même. La protection doit venir du réseau qui entoure les appareils.

Le chiffrement a besoin d’identité

Le chiffrement garantit que personne ne peut lire ni modifier les données en chemin. Mais il n’est utile que si l’on sait aussi qui se trouve à l’autre bout. Sinon, un attaquant établit tout simplement sa propre connexion chiffrée.

C’est précisément le rôle des certificats. Un certificat est une carte d’identité numérique : il prouve qu’un appareil ou un service est bien celui qu’il prétend être. Avec le TLS mutuel (mTLS), les deux parties présentent leur certificat, et seuls les appareils connus et autorisés passent. OPC UA applique le même principe avec ses propres certificats d’application.

En bref : le chiffrement protège le contenu, les certificats protègent contre le mauvais interlocuteur. Un réseau d’usine sécurisé a besoin des deux.

Le problème sous-estimé : des certificats qui ne changent jamais

Dans de nombreuses usines, les certificats sont émis une fois, puis oubliés. Cela pose plusieurs problèmes :

• Les identités volées restent valables: Si un certificat et sa clé sont copiés, l’attaquant peut les utiliser aussi longtemps que le certificat est valable — souvent pendant des années.
• Les certificats partagés propagent les dégâts: Si plusieurs appareils ou sites utilisent le même certificat, un seul appareil compromis ouvre la porte à tous les autres.
• L’expiration provoque des pannes: Lorsqu’un certificat que personne ne surveille expire, les connexions s’interrompent brusquement — et la production avec elles.

C’est pourquoi des normes de sécurité comme l’IEC 62443 et, dans l’UE, la directive NIS2 exigent que les certificats et les clés soient gérés et renouvelés régulièrement. Le faire à la main pour des centaines de connexions n’est guère réaliste — si bien qu’en pratique, cela n’est souvent pas fait.

À quoi ressemble une approche réaliste

Plutôt que de mettre à niveau chaque machine, vous protégez le trafic là où il entre dans l’usine ou passe d’une zone à l’autre :

• Un proxy de chiffrement en bordure: Un proxy dans l’usine chiffre et déchiffre tout le trafic qui passe par lui. Les anciens appareils continuent de fonctionner sans modification.
• Des certificats propres à chaque type de connexion: Données machines, maintenance à distance et connexion ERP reçoivent chacune leurs propres certificats : un problème sur l’une n’affecte pas les autres.
• Liste blanche: Seuls les appareils explicitement autorisés passent. Tout le reste est rejeté.
• Rotation automatique: Les certificats sont renouvelés automatiquement à intervalle défini — sans que personne ait à y penser.
• Aucun certificat partagé: Chaque proxy et chaque site possède ses propres certificats : une compromission reste ainsi isolée.

Comment RALUS CertProxy met cela en pratique

Nous avons développé RALUS CertProxy précisément pour cette approche. Il fonctionne sur un serveur dans votre usine ou sur site, et chiffre et déchiffre tout le trafic qui passe par lui. Chaque type de communication utilise ses propres certificats issus d’un pool géré, et seuls les appareils autorisés passent.

CertProxy prend en charge tous les types de certificats courants, notamment des certificats d’autorités de certification (CA) publiques et privées, des certificats auto-signés, des certificats OPC UA, des certificats client mTLS et des certificats d’appareil IEEE 802.1AR. Les certificats sont renouvelés automatiquement à l’intervalle que vous définissez : l’IT respecte ainsi les exigences de rotation sans travail manuel.

Plusieurs CertProxies travaillent ensemble : ils renouvellent les certificats de manière aléatoire, sans répétition et sans qu’un certificat soit partagé entre deux proxys. Que le réseau IT ou une usine soit compromis, CertProxy isole l’usine.

Par où commencer

1. 1Recenser les connexions: Quels systèmes communiquent avec le réseau de l’usine, et avec quels protocoles ? Une simple liste suffit pour commencer.
2. 2Les classer par risque: La maintenance à distance et les connexions cloud passent généralement en premier, suivies des connexions entre sites.
3. 3Protéger d’abord une connexion: Commencez par la connexion la plus critique, vérifiez qu’elle fonctionne de manière fiable, puis avancez pas à pas.
4. 4Définir un intervalle de rotation: Convenez avec l’IT de la fréquence de renouvellement des certificats, et laissez-la s’appliquer automatiquement.
5. 5Surveiller: Gardez un œil sur les connexions et les certificats, pour que rien n’expire ni ne change à votre insu.

Conclusion

Une usine connectée a besoin de plus qu’un pare-feu en périphérie. Le chiffrement, des identités claires et des certificats renouvelés régulièrement font la différence entre un réseau simplement chiffré et un réseau vraiment protégé — et rien de tout cela ne doit signifier davantage de travail manuel.

Vous voulez savoir quelles connexions protéger en priorité ? Demandez une démo de CertProxy.