Pourquoi les PKI sont importants dans l'IIoT?
Pourquoi les PKI sont importants dans l’IIoT ?
L'Internet industriel des objets (IIoT) promet de transformer l’industrie, dans tous les domaines, avec une plus grande automatisation, de nouveaux services et une optimisation dans l’utilisation des ressources. Cependant, ces progrès dépendent des données générées par les nouveaux périphériques IIoT en cours de développement et de déploiement. Et ces objectifs ne seront atteints que si les données produites sont fiables, ce qui exige une sécurité beaucoup plus forte que celle actuellement déployée. La confiance en ces données ne peut pas être plus importante que la confiance en l'appareil qui les génère.
Les cyberattaques contre les systèmes de contrôle industriel, les infrastructures critiques ou les réseaux IIoT sont en constante augmentation, notamment du fait du nombre croissant d’équipements industriels qui sont connectés entre-eux. Il devient donc primordial de mettre les exigences de cybersécurité au cœur du développement de tout nouveau système. Du fait de la complexité croissante des attaques, un aspect souvent ignoré mais fondamental de la cybersécurité pour les dispositifs IIoT est une authentification renforcée.
IIoT : Rôle de l'authentification
Dans une système communicant, y compris Machine-to-Machine, il est essentiel de s’assurer de la légitimité de l’équipement auquel on doit se connecter : l'appareil est-il un produit contrefait ou cloné ? Fait-il partie d'un « botnet » participant à une attaque par déni de service ? Est-il sous le contrôle direct d'un hacker et utilisé pour lancer une cyber-attaque ? L’authentification permet à un équipement de s’assurer que le système avec lequel il communique est légitime et de connaitre les opérations qu’il est autorisé à effectuer.
Bon nombre de systèmes IIoT actuels utilisent déjà des systèmes d’authentification, mais bien souvent basés sur l’échange de login et de mot de passe, ou des clés de sécurité pré-definies, qui ne sont au final que des mots de passe plus complexes.
Ces approches ont plusieurs limitations. D’une part ces informations peuvent être volées, elles sont très vulnérables aux attaques « brutes » par des méthodes d’itération ou le biais de dictionnaires et il n’y a pas dans ces approches de mécanisme pour détecter si les informations ont été volées. Un fois les mots de passe découverts, il devient alors très facile d’effectuer des opérations non autorisées et accéder à des données sensibles.
Dans un réseau intégrant un nombre important d’équipements connectés, si un login/mot de passe est compromis, tous les équipements sont suceptibles de devoir être mis à jour, un defi tant technique qu’économique.
Bon nombre de systèmes IIoT actuels utilisent déjà des systèmes d’authentification, mais bien souvent basés sur l’échange de login et de mot de passe, ou des clés de sécurité pré-definies, qui ne sont au final que des mots de passe plus complexes.
Ces approches ont plusieurs limitations. D’une part ces informations peuvent être volées, elles sont très vulnérables aux attaques « brutes » par des méthodes d’itération ou le biais de dictionnaires et il n’y a pas dans ces approches de mécanisme pour détecter si les informations ont été volées. Un fois les mots de passe découverts, il devient alors très facile d’effectuer des opérations non autorisées et accéder à des données sensibles.
Dans un réseau intégrant un nombre important d’équipements connectés, si un login/mot de passe est compromis, tous les équipements sont suceptibles de devoir être mis à jour, un defi tant technique qu’économique.
L’authentification Forte pour les équipements IIoT
Pour être efficace, tout système d'authentification pour l'IIoT doit donc aller au-delà. La solution est de lier ces informations d’authentification à une identité propre à chaque équipement. Non seulement l’équipement doit exiger les bonnes informations (mot de passe et nom d'utilisateur, clé d'authentification, etc.), mais il doit pouvoir vérifier que ces informations sont bien associées à l'appareil les utilisant, et tous ces échanges doivent être faits de manière sécurisée. Ces informations d'authentification ne doivent pas être faciles à voler ou à cloner, et la distribution, la vérification et la révocation des données d'authentification doivent être automatisées et faciles à gérer.
Utilisation des PKI pour d’équipement IIoT
Les PKI (Public Key Infrastructure) correspondent à un ensemble de technologies et de services pour la gestion de l’authentification de tout système informatique. Le principe est basé sur un mécanisme de certificats numériques qui sont souvent référencés comme Certificats X.509 ou tout simplement Certificats. Cela peut s’apparenter à une carte d’identité virtuelle.
Un certificat numérique fait dans le monde informatique ce que fait une pièce d’identité dans le monde réel, mais avec une grande différence. Ces certificats ne sont pas seulement délivrés aux utilisateurs (utilisateurs, administrateurs, etc.) mais peuvent être également émis/enregistrés par à peu près n'importe quel équipement électronique ou logiciel nécessitant une preuve d'identité.
L’utilisation des certificats est d’autant plus utile que les systèmes sont critiques. En prouvant l’identité des machines, ils assurent la légitimité et l’intégrité de la transaction des données pouvant être vitales. Le PKI fourni permet l’émission des certificats sur tous les périphériques IIoT d’un réseau et leur gestion tout au long du cycle de vie des équipements.
Un certificat numérique, comme une pièce d’identité, est émis par une autorité de confiance (Autorité de Certification), contient des autorisations et permet d’identifier le détenteur du certificat. Le principe d’identification repose sur la notion de clés publiques & privées. Grâce à cette technologie de cryptographie à clé publique / privée, un dispositif IIoT peut ainsi vérifier que le détenteur du certificat est bien l'entité spécifiée par le certificat. Le résultat est qu'un appareil peut vérifier, avec certitude, que le détenteur du certificat PKI est réellement celui qu'il prétend être et non un imposteur.
Un certificat numérique fait dans le monde informatique ce que fait une pièce d’identité dans le monde réel, mais avec une grande différence. Ces certificats ne sont pas seulement délivrés aux utilisateurs (utilisateurs, administrateurs, etc.) mais peuvent être également émis/enregistrés par à peu près n'importe quel équipement électronique ou logiciel nécessitant une preuve d'identité.
L’utilisation des certificats est d’autant plus utile que les systèmes sont critiques. En prouvant l’identité des machines, ils assurent la légitimité et l’intégrité de la transaction des données pouvant être vitales. Le PKI fourni permet l’émission des certificats sur tous les périphériques IIoT d’un réseau et leur gestion tout au long du cycle de vie des équipements.
Un certificat numérique, comme une pièce d’identité, est émis par une autorité de confiance (Autorité de Certification), contient des autorisations et permet d’identifier le détenteur du certificat. Le principe d’identification repose sur la notion de clés publiques & privées. Grâce à cette technologie de cryptographie à clé publique / privée, un dispositif IIoT peut ainsi vérifier que le détenteur du certificat est bien l'entité spécifiée par le certificat. Le résultat est qu'un appareil peut vérifier, avec certitude, que le détenteur du certificat PKI est réellement celui qu'il prétend être et non un imposteur.
IIoT: Limitations des solutions PKI existantes
Largement utilisés sur Internet et l’IT, les PKI ont suscité des critiques, en grande partie liées à des échecs dans leur mise en œuvre : de nombreuses implémentations ne vérifiaient pas la révocation des certificats, entraînant l'utilisation de certificats expirés ou révoqués. Dans d’autres, cas certains systèmes n'ont pas correctement implémenté la validation de la chaîne de certificats, ce qui a permis d'utiliser des certificats corrompus.
De plus, les solutions PKI existantes sont orientées pour une utilisation sur des réseaux d'entreprises (IT) ou internet, et ne correspondent pas aux besoins spécifiques des réseaux IIoT. Dans les réseaux IT, les certificats sont délivrés à un petit nombre de machines, essentiellement les serveurs, et généralement via un processus manuel. Avec l'authentification du serveur, seul le serveur est authentifié. C’est le client qui se connecte qui valide l’authenticité du serveur grâce à son certificat. Le serveur quant à lui ne vérifie que le nom d’utilisateur et le mot de passe du client. Cette approche se révèle insuffisante pour certains types d’applications. Par contre, avec l'authentification mutuelle, le serveur ET le client ont besoin d'un certificat ce qui, de facto, implique la multiplication du nombre de certificats à gérer.
De plus, les solutions PKI existantes sont orientées pour une utilisation sur des réseaux d'entreprises (IT) ou internet, et ne correspondent pas aux besoins spécifiques des réseaux IIoT. Dans les réseaux IT, les certificats sont délivrés à un petit nombre de machines, essentiellement les serveurs, et généralement via un processus manuel. Avec l'authentification du serveur, seul le serveur est authentifié. C’est le client qui se connecte qui valide l’authenticité du serveur grâce à son certificat. Le serveur quant à lui ne vérifie que le nom d’utilisateur et le mot de passe du client. Cette approche se révèle insuffisante pour certains types d’applications. Par contre, avec l'authentification mutuelle, le serveur ET le client ont besoin d'un certificat ce qui, de facto, implique la multiplication du nombre de certificats à gérer.
Solutions PKI pour l'IIoT
Pour l'IIoT, l'authentification mutuelle est obligatoire. Lorsque les périphériques communiquent, ils doivent se valider les uns avec les autres. Implémentés correctement, les certificats numériques éliminent toute interaction humaine et évitent l'authentification par mot de passe et autres mécanismes moins sûrs.
Mais comme l'authentification mutuelle nécessite que chaque périphérique possède un certificat, les processus manuels des solutions PKI classiques ne s'adaptent pas aux besoins de l'IIoT, notamment à cause de l’explosion du nombre de périphériques.
Pour pallier à ces inconvénients, Icon Labs a développé une solution PKI spécifique pour l'IIoT. Cette solution permet aux périphériques de demander automatiquement et en toute sécurité de nouveaux certificats, de les valider et de reconnaître les certificats révoqués. Cette solution prend également en charge le chaînage de certificats pour s'assurer que l’ensemble des certificats est valide.
De plus, elle permet la gestion des certificats sur l'ensemble du cycle de vie du périphérique. Cela commence avec l’enregistrement des certificats dans l'appareil pendant la fabrication empêchant ainsi la contrefaçon et le clonage. Vient ensuite le processus de déploiement au cours duquel l’équipement est validé automatiquement, à l'aide du certificat installé lors de la fabrication, et un nouveau certificat est publié pour une utilisation sur le réseau. Ce certificat pourra être révoqué ultérieurement lorsque l'appareil sera mis hors service interdisant toute réutilisation frauduleuse.
Mais comme l'authentification mutuelle nécessite que chaque périphérique possède un certificat, les processus manuels des solutions PKI classiques ne s'adaptent pas aux besoins de l'IIoT, notamment à cause de l’explosion du nombre de périphériques.
Pour pallier à ces inconvénients, Icon Labs a développé une solution PKI spécifique pour l'IIoT. Cette solution permet aux périphériques de demander automatiquement et en toute sécurité de nouveaux certificats, de les valider et de reconnaître les certificats révoqués. Cette solution prend également en charge le chaînage de certificats pour s'assurer que l’ensemble des certificats est valide.
De plus, elle permet la gestion des certificats sur l'ensemble du cycle de vie du périphérique. Cela commence avec l’enregistrement des certificats dans l'appareil pendant la fabrication empêchant ainsi la contrefaçon et le clonage. Vient ensuite le processus de déploiement au cours duquel l’équipement est validé automatiquement, à l'aide du certificat installé lors de la fabrication, et un nouveau certificat est publié pour une utilisation sur le réseau. Ce certificat pourra être révoqué ultérieurement lorsque l'appareil sera mis hors service interdisant toute réutilisation frauduleuse.
IIoT : Comparaison Clés / Mots de passe / Certificats
| Mots de passe | Clés | Certificats | |
|---|---|---|---|
| Robustesse | Faible | Forte | Forte |
| Jumelé avec nim utilisateur/Identité | Oui | Parfois | Oui |
| Facilement déviné | Souvent | Non | Non |
| Sensibilité à être compromis | Oui | Oui | Non |
| Facilité de mise à jour/gestion | Non | Non | Oui |
| Nécessité d'interaction physique | Oui | Non | Non |
IIoT : Conclusion
De nos jours il est primordial que les frabriquants de dispositifs IIoT ou les sociétés qui déploient des réseaux IIoT soient proactifs en termes de sécurité en s'assurant que ces équipements et les réseaux dans lesquels ils opèrent soient les moins vulnérables que possible. Un mécanisme d’authentification forte de tous les périphériques IIoT est l'une des exigences fondamentales pour la sécurisation de ces réseaux.
C’est ce que permet les PKI en assurant l’authentification mutuelle. Il est essentiel de s'assurer que les périphériques impliqués dans la communication soient authentifés et validés pour sécuriser les réseaux IIoT. Les PKI fournissent le socle pour assurer l'intégrité des données utilisées, permettant ainsi de créer de nouveaux modèles économiques, d’augmenter l'efficacité opérationnelle, et au final de réellement tirer profit de l’avénement de l'IIoT.
C’est ce que permet les PKI en assurant l’authentification mutuelle. Il est essentiel de s'assurer que les périphériques impliqués dans la communication soient authentifés et validés pour sécuriser les réseaux IIoT. Les PKI fournissent le socle pour assurer l'intégrité des données utilisées, permettant ainsi de créer de nouveaux modèles économiques, d’augmenter l'efficacité opérationnelle, et au final de réellement tirer profit de l’avénement de l'IIoT.