Points clés
- Une diode de données concentre la confiance — en cas de défaillance, personne ne la cherche
- Unidirectionnel par choix de composant n’est pas la même chose qu’unidirectionnel par conception physique
- La substitution dans la chaîne d’approvisionnement est une menace réaliste pour les cibles de grande valeur
- Sept questions pour vérifier la garantie unidirectionnelle avant l’achat ou l’audit
- La propriété unidirectionnelle ne devrait jamais dépendre d’un logiciel, d’un firmware ou d’une configuration
L’équipement que tout le monde cesse d’auditer
Une diode de données, ou passerelle unidirectionnelle, se situe à la limite exacte des sites les plus importants : le réseau de contrôle d’une centrale électrique, d’une sous-station, d’une raffinerie, d’un système de signalisation ferroviaire, d’une enclave classifiée. Sa fonction est simple à énoncer. Les données circulent dans une direction, et rien ne peut jamais revenir en arrière.
Cette promesse modifie la façon dont le reste du site est défendu. Une fois qu’une diode est installée, le conduit derrière elle est traité comme fermé. La surveillance sur ce chemin est relâchée, les contrôles compensatoires sont supprimés, et l’évaluation des risques enregistre le chemin de retour comme physiquement impossible. Les conceptions de zones et de conduits selon l’IEC 62443, et les plans de traitement des risques selon la NIS2, sont basés sur cette hypothèse.
C’est ce qui fait de la diode un composant à enjeux élevés : elle concentre la confiance. Un pare-feu qui tombe en panne est une couche parmi plusieurs, et quelqu’un le surveille. Une diode qui tombe en panne est une défaillance que personne ne cherche, à la tête du site même que tout le reste était censé protéger.
Deux risques qui se multiplient
Le premier risque est un chemin unidirectionnel qui n’est unidirectionnel que par choix de composant. De nombreux produits présentés comme des diodes reposent sur des transceivers optiques enfichables, les modules SFP que l’on trouve dans n’importe quel commutateur, pour définir la direction : un module qui ne transmet que d’un côté, un module qui ne reçoit que de l’autre. Un SFP est une pièce courante. Des variantes bidirectionnelles existent, y compris des modèles à fibre unique qui envoient et reçoivent sur un seul brin, et elles sont difficiles à distinguer de l’extérieur. Dans une telle conception, la direction de la liaison dépend du module inséré dans la cage.
Le second risque est la chaîne d’approvisionnement. Les transceivers sont produits en très grands volumes, via de longues chaînes internationales que le client final ne peut pas auditer. La substitution ou la modification d’un module avant la livraison, ou lors d’une opération de maintenance, est un scénario réaliste pour un adversaire bien doté en ressources. La valeur de la cible justifie l’effort.
Ensemble, les deux risques se cumulent. Lorsque les transceivers sont scellés à l’intérieur d’un châssis que l’opérateur n’est pas autorisé à ouvrir, personne sur le site ne peut voir ce qui assure la direction, à la réception ou après toute intervention. Un composant substitué transformerait la diode en un chemin bidirectionnel, et ce, silencieusement, car le trafic légitime continuerait de circuler exactement comme avant. Le site fonctionnerait alors avec une liaison bidirectionnelle documentée, auditée et assurée comme une séparation physique, derrière laquelle les autres défenses auraient été délibérément réduites.
Rien de tout cela ne suggère qu’un produit donné est compromis. Cela signifie que la seule propriété dont dépend toute l’architecture repose sur une affirmation que le client ne peut pas vérifier.
Ce qu’il faut vérifier : sept questions pour tout fournisseur de diodes
Ces questions s’appliquent à tous les produits unidirectionnels, y compris les nôtres. Un fournisseur avec une conception solide y répond en quelques minutes.
- Où exactement l’unidirectionnalité est-elle appliquée ? Demandez l’élément unique qui rend la transmission de retour physiquement impossible. Un élément optique passif sans moyen d’émettre en sens inverse est une garantie physique. Un composant actif censé rester silencieux est une configuration.
- Pouvez-vous le voir ? L’élément unidirectionnel doit être inspectable de l’extérieur, avec des connecteurs fibre optique standard, afin que votre propre équipe puisse suivre le chemin lumineux à l’œil lors de la réception et après chaque visite de maintenance, sans ouvrir un boîtier scellé ni annuler une garantie.
- Que se passe-t-il si un transceiver est échangé ? Demandez au fournisseur de décrire le scénario : un module bidirectionnel est inséré de chaque côté. Si un chemin de retour existe alors, la fonction de sécurité réside dans une pièce de série remplaçable. La bonne réponse est que l’échange ne change rien.
- Qui a évalué la fonction unidirectionnelle, et quel était le périmètre ? Lisez la cible de sécurité, pas le logo. Vérifiez que l’évaluation couvre la fonction unidirectionnelle elle-même, à quel niveau d’assurance, et par quelle autorité indépendante : une qualification d’agence nationale telle que celle de l’ANSSI, ou un niveau d’assurance Common Criteria élevé.
- L’évaluation couvre-t-elle la production et la livraison ? Une conception peut être solide et l’unité livrée différente. Demandez si le site de fabrication, la provenance des composants et le processus de livraison ont été évalués, et comment une altération en transit serait détectée.
- La fonction de sécurité est-elle indépendante du logiciel ? Les proxys, les connecteurs de protocole et les firmwares sont mis à jour tout au long de la vie du système. La propriété unidirectionnelle ne devrait jamais dépendre d’une version logicielle, d’une licence ou d’un fichier de configuration.
- Pouvez-vous le vérifier à nouveau dans dix ans ? Les sites critiques conservent les équipements longtemps. Après une réparation, un remplacement ou une mise à niveau, l’opérateur doit pouvoir répéter la même vérification qu’au premier jour, avec son propre personnel.
Comment nous le construisons, avec nos partenaires
L’One-WayAppliance (OWA) de Cyberium est conçue autour d’une stricte séparation des rôles. Des proxys de chaque côté gèrent les protocoles nécessaires aux opérations : réplication d’historien, OPC UA, transfert de fichiers, journaux. Entre eux se trouve un cœur de diode optique distinct, fourni par des partenaires dont la discipline est cette fonction unique.
Le cœur est un élément séparé et visible. Le chemin de fibre entre les deux proxys passe par le cœur de la diode sur des connecteurs optiques standard, à l’extérieur des proxys. Avec un cœur optique passif, il n’y a pas d’émetteur faisant face au côté protégé : votre équipe peut suivre le chemin et voir qu’il n’a qu’une seule direction.
Les transceivers n’assurent aucune fonction de sécurité. Les modules optiques de nos proxys sont standard, exposés et remplaçables. Si l’un d’eux était échangé contre un modèle bidirectionnel, le cœur ne transporterait toujours la lumière que dans une seule direction. Le scénario d’échange de la question 3 ne change rien.
Dans une appliance scellée, l’opérateur doit faire confiance à ce qui est installé à l’intérieur. Avec un cœur séparé, l’élément unidirectionnel et le chemin de fibre peuvent être inspectés à tout moment.
L’assurance vient des spécialistes. L’OWA est configurable autour du cœur optique qui correspond aux exigences du site :
Cœur de diode | Partenaire | Assurance indépendante | Contexte typique |
Tapics | Allentis | Qualifié ANSSI, conçu et produit en France | Infrastructures critiques, exigences souveraines françaises et européennes exigences |
ELIPS SD | Thales | Qualifié ANSSI, approuvé pour l’OTAN Secret et l’UE Secret | Défense et réseaux classifiés réseaux |
Cœur renforcé cœur | Sentyron | Common Criteria EAL7+ avec vérification formelle | Déploiements de défense et classifiés déploiements |
Nous énonçons clairement la limite : la qualification ou la certification appartient au cœur optique. Nos proxys fournissent les fonctions applicatives, jusqu’à 10 Gbps, et ils sont conçus de manière à ce que la garantie unidirectionnelle ne dépende jamais d’eux.
Aucune conception ne rend une attaque de la chaîne d’approvisionnement impossible. Celle-ci maintient la fonction critique dans un petit composant à usage unique, évalué indépendamment et d’origine traçable, et elle laisse ce composant là où l’opérateur peut le voir.
Demandez à le voir
Une diode gagne la confiance qui lui est accordée lorsque sa propriété unidirectionnelle peut être vue, expliquée en une phrase et vérifiée à nouveau des années plus tard par les personnes qui exploitent le site. Avant le prochain achat ou audit, soumettez les sept questions à votre fournisseur actuel, et à nous.
Pour examiner les conduits unidirectionnels de votre site par rapport à cette liste de contrôle, contactez-nous.
