Sécuriser l’interface web de paramétrage d’un dispositif électronique intelligent (DEI)

Les équipements de contrôle et de surveillance industriels (postes électriques, centrales de production, etc.) ont une durée de vie minimale de 25 ans. Depuis plusieurs années, ils intègrent des interfaces web de paramétrage, protégées par des certificats de sécurité pour prévenir les attaques de type man-in-the-middle. Ces dispositifs sont généralement isolés (non connectés à Internet ni aux réseaux administratifs), ce qui atténue une partie du risque cyber. Toutefois, il est essentiel de prendre en compte ces contraintes pour éviter de créer une « surqualité » qui complique inutilement l’usage.

Le problème ? Les recommandations récentes du CA/Browser Forum et les exigences des navigateurs imposent des certificats à durée de vie plus courte. Or, ces équipements doivent rester opérationnels pendant plus de 25 ans sans mises à jour fréquentes, en raison de contraintes opérationnelles strictes. Les certificats expirés entraînent aussi des erreurs récurrentes dans les navigateurs, ce qui nuit à l’expérience des techniciens.

👉 Le défi : Proposer une solution innovante (application, algorithme et méthode) de gestion du chiffrement des données pour des environnements TO isolés, conçus pour durer plusieurs décennies sans mises à jour fréquentes. La solution doit protéger les données sensibles locales tout en restant simple à déployer et utilisable par des techniciens non spécialistes.

• Imaginer une solution disruptive qui conjugue la réalité du terrain industriel et les avancées technologiques.
• Proposer une approche innovante, standardisable et simple à opérationnaliser.
• Tenir compte des contraintes réglementaires de l’industrie (comme NERC CIP) dans la conception de la solution.
• Développer une solution utilisable par des techniciens ayant peu de connaissances en cybersécurité.

Pourquoi c’est important ?

Les infrastructures critiques doivent rester disponibles et sécurisées, même lorsque leurs équipements vieillissent. Les normes actuelles en matière de certificats ne sont pas adaptées aux cycles de vie longs des dispositifs industriels. Cela crée des risques de failles de sécurité, mais aussi une charge supplémentaire pour des équipes techniques qui ne sont pas spécialisées en cybersécurité. Une approche pragmatique et durable est nécessaire pour concilier longévité industrielle et exigences modernes de cybersécurité.

Idées à explorer :

• Chiffrement symétrique renforcé ou approches hybrides (symétrique + asymétrique).
• Gestion locale de clés intégrée directement aux équipements.
• Modules matériels de sécurité (HSM, TPM) embarqués.
• Solutions décentralisées inspirées du Web3 pour certification et traçabilité.
• IA embarquée pour la détection locale d’anomalies.
• Capteurs intelligents ou appliances locales permettant une gestion autonome des certificats.

Industries potentielles :

• Infrastructures critiques : énergie, transport, télécommunications, etc.