Data Diode (Diode de données unidirectionnelle)

Définition

Une data diode (diode de données) est un dispositif réseau matériel qui garantit physiquement la transmission unidirectionnelle des données, permettant à l'information de circuler dans un seul sens (d'un réseau moins sécurisé vers un réseau plus sécurisé, ou d'un réseau critique vers un réseau de collecte de données) sans aucune possibilité de communication retour. Contrairement aux firewalls ou aux solutions logicielles qui peuvent être reconfigurées ou contournées, la diode de données applique une séparation unidirectionnelle garantie par la physique (diode optique unidirectionnelle) rendant impossible toute communication dans le sens inverse, même en cas de compromission de la configuration. Les data diodes sont utilisées dans les environnements OT les plus sensibles pour permettre la remontée de données de télémétrie depuis les réseaux de contrôle critiques vers les réseaux de supervision ou d'analyse, sans créer de vecteur d'attaque retour : les données de process OT (mesures de capteurs, états d'équipements) peuvent être transmises vers un historian ou un SIEM dans une zone moins sécurisée, tout en garantissant qu'aucune commande ou code malveillant ne peut revenir vers le réseau de contrôle. Des fournisseurs de data diodes industrielles incluent Waterfall Security Solutions (Unidirectional Security Gateways - leader mondial), Fox-IT DataDiode, Owl Cyber Defense, Advenica, et Belden (Fox DataDiode). Ces produits incluent des logiciels "proxy" sur chaque côté de la diode pour convertir les protocoles bidirectionnels (OPC DA/UA, Modbus TCP, OSIsoft PI) en flux unidirectionnels compatibles avec la diode. Les data diodes sont recommandées par l'ANSSI dans ses guides de sécurité pour les systèmes industriels critiques (OIV) pour les connexions depuis les SIIV vers les réseaux de supervision, et dans les architectures IEC 62443 pour les connexions entre zones de Security Level très différents (SL-3 vers SL-1).

Fonctionnement d'une data diode Waterfall dans une centrale nucléaire

Dans une centrale nucléaire, la remontée des données de surveillance des paramètres réacteur vers le système historian de l'entreprise via une data diode Waterfall se déroule ainsi : (1) Côté "HIGH" (réseau protégé, niveau de supervision nucléaire) : un agent logiciel Waterfall (TX Agent) collecte les données de surveillance du réacteur depuis le DCS nucléaire et les transmet en continu via la diode optique vers le côté RX, (2) La diode optique physique transmet les données dans un seul sens (côté HIGH vers côté LOW) - aucun signal ne peut remonter physiquement de LOW vers HIGH, (3) Côté "LOW" (réseau de collecte, moins sécurisé) : un agent logiciel Waterfall (RX Agent) reconstruit les données et les injecte dans le serveur OSIsoft PI historian accessible aux ingénieurs et au management. Les ingénieurs sur le réseau LOW peuvent consulter les données en temps réel mais ne peuvent physiquement pas envoyer de commande vers le réseau HIGH via la data diode.

Contexte OT/ICS et architectures avec data diodes

Les data diodes sont particulièrement adaptées aux architectures où la confidentialité et l'intégrité du réseau source sont absolument critiques : installations nucléaires (séparation des systèmes I&C de sûreté des réseaux de collecte de données), réseaux militaires (transfert de données depuis des réseaux classifiés vers des réseaux non classifiés), sous-stations électriques critiques (remontée de données SCADA sans risque de commande retour), et systèmes de contrôle de sites ATEX (usines chimiques, raffineries) où toute connexion entrante vers le réseau de contrôle est inacceptable.

Sécurité et mitigation

Déploiement des data diodes OT : sélectionner des produits certifiés par des organismes reconnus (CC EAL4+ pour Waterfall, certification ANSSI pour les déploiements OIV français), configurer les agents TX/RX pour tous les protocoles industriels requis (OSIsoft PI, OPC DA, Modbus TCP, Syslog), tester régulièrement l'unidirectionnalité réelle de la data diode (test de tentative de communication inverse pour valider le comportement), et intégrer les data diodes dans la documentation d'architecture de sécurité OT comme contrôle clé de la segmentation entre zones de Security Levels très différents.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis