Industrial Wireless Security (Sans-fil industriel)

Fonctionnement de la sécurité WirelessHART

WirelessHART implémente la sécurité à plusieurs niveaux : (1) Sécurité du réseau mesh : chaque paquet WirelessHART est chiffré avec AES-128 et authentifié avec un MIC (Message Integrity Code), utilisant des clés de chiffrement générées par le Network Manager (passerelle WirelessHART) lors de la jointure de chaque appareil, (2) Sécurité de jointure : un appareil WirelessHART doit connaître la "Join Key" (clé de jointure pré-partagée, configurée manuellement dans l'appareil et dans le Network Manager) pour rejoindre le réseau mesh - sans cette clé, un appareil non autorisé ne peut pas communiquer dans le réseau, (3) Rotation des clés : le Network Manager peut effectuer des rotations de clés de session périodiques pour limiter l'impact d'une compromission de clé, (4) Surveillance du mesh : le Network Manager surveille la topologie du réseau et signale les appareils inconnus ou les comportements anormaux (ex: un appareil connu qui envoie des messages avec des clés incorrectes).

Contexte OT/ICS et 5G privé industriel

Le 5G privé industriel (Private 5G) est une technologie émergente pour les réseaux OT sans fil qui offre des performances supérieures au WiFi (latence de 1-10ms, débit de plusieurs Gbps, fiabilité 99,999%), une couverture de zone étendue (idéal pour les grandes usines ou les sites outdoor comme les raffineries), et une sécurité intégrée (authentification SIM/eSIM, chiffrement native 5G). Le 5G privé industriel est déployé par des entreprises comme Siemens (partenariats avec des opérateurs télécoms), Ericsson, et Nokia pour des applications industrielles critiques (contrôle de robots, communications AGV, maintenance AR). La sécurité du 5G privé industriel inclut la gestion sécurisée des SIM/eSIM, la segmentation du réseau via Network Slicing, et la surveillance des équipements 5G.

Sécurité et mitigation

Sécurisation des réseaux sans fil industriels : modifier les clés de jointure par défaut sur tous les appareils WirelessHART et ISA100.11a lors du déploiement, mettre à jour le firmware des passerelles et access points sans fil industriels, surveiller les réseaux sans fil industriels pour la présence de nouveaux appareils (rogue devices), implémenter WPA3-Enterprise (802.1X avec certificats) sur les réseaux WiFi industriels, isoler les réseaux sans fil industriels des réseaux câblés de contrôle via des DMZ dédiées, et surveiller les niveaux de signal RSSI pour détecter des équipements ajoutés à distance ou des tentatives de brouillage.