DNP3 Protocol

Description

DNP3 (Distributed Network Protocol 3) est un protocole de communication industriel développé pour les réseaux SCADA électriques et hydrauliques. Dérivé de IEC 60870-5, il supporte la communication série et TCP/IP (port 20000) et est massivement déployé dans les infrastructures électriques nord-américaines soumises à NERC CIP.

Contexte OT/ICS

DNP3 ne dispose pas d'authentification ni de chiffrement dans sa version de base. L'extension DNP3 Secure Authentication (SA, v5) introduit un mécanisme de challenge-response basé sur HMAC, mais son déploiement reste limité. NERC CIP-005 exige la sécurisation des communications DNP3 pour les actifs BES Electronic Security Perimeters.

Points clés

• DNP3 SA v5 : authentification challenge-response HMAC-SHA256 — seule mitigation native du protocole
• Firewall industriel : whitelister les fonctions DNP3 autorisées (codes fonction 0x03, 0x81) et bloquer les spoofing
• Risque spécifique : injection de trames non authentifiées pour manipuler les télécommandes des sous-stations