Modbus n’a pas d’authentification ou de cryptage natif. Chaque commande est transmise en clair et n’importe quel appareil du r\u00e9seau peut envoyer des instructions \u00e0 n’importe quel automate. OPC-UA offre des fonctions de s\u00e9curit\u00e9 telles que l’authentification par certificat et le cryptage des messages, mais celles-ci sont rarement mises en \u0153uvre correctement dans les environnements de production. Les deux protocoles fonctionnent sur des \u00e9quipements qui ne peuvent pas installer d’agents de s\u00e9curit\u00e9, ce qui fait de l’isolation en ligne la m\u00e9thode la plus pratique pour les prot\u00e9ger. <\/p>\n
Chaque usine qui connecte des automates, des IHM ou des syst\u00e8mes SCADA \u00e0 un r\u00e9seau d’entreprise ouvre une voie que les attaquants peuvent suivre depuis un courriel d’hame\u00e7onnage jusqu’\u00e0 une cha\u00eene de production. OPC-UA et Modbus sont les deux protocoles industriels les plus utilis\u00e9s, et tous deux ont \u00e9t\u00e9 con\u00e7us \u00e0 une \u00e9poque o\u00f9 la cybers\u00e9curit\u00e9 n’\u00e9tait pas une pr\u00e9occupation. Les appareils qui utilisent ces protocoles fonctionnent pendant des d\u00e9cennies, ne peuvent pas \u00eatre corrig\u00e9s facilement et se trouvent sur des r\u00e9seaux qui sont de plus en plus connect\u00e9s \u00e0 l’infrastructure informatique. Ce guide explique les lacunes de chaque protocole, la mani\u00e8re dont les attaquants exploitent le foss\u00e9 entre les technologies de l’information et les technologies de l’information, et comment l’isolation en ligne prot\u00e8ge la production sans n\u00e9cessiter l’installation d’un logiciel sur un appareil industriel. <\/p>\n
OPC-UA (Open Platform Communications Unified Architecture) est la norme d’interop\u00e9rabilit\u00e9 dans le domaine de l’automatisation industrielle. Il remplace l’ancien OPC Classic, d\u00e9pendant de Windows, par un cadre ind\u00e9pendant de la plate-forme qui mod\u00e9lise les donn\u00e9es comme des objets dans un espace d’adressage. Deux mod\u00e8les de communication dominent : le mod\u00e8le client-serveur, dans lequel une interface homme-machine se connecte \u00e0 un automate pour lire ou \u00e9crire des donn\u00e9es, et le mod\u00e8le publication-souscription (PubSub), dans lequel un \u00e9diteur transmet des donn\u00e9es \u00e0 plusieurs abonn\u00e9s simultan\u00e9ment. <\/p>\n
Le protocole a \u00e9t\u00e9 con\u00e7u avec une s\u00e9curit\u00e9 int\u00e9gr\u00e9e. L’authentification au niveau de l’application utilise des certificats X.509. La s\u00e9curit\u00e9 au niveau du transport signe et chiffre les messages \u00e0 l’aide d’AES et de RSA. L’authentification des utilisateurs prend en charge les jetons, Kerberos et les certificats. Les listes de contr\u00f4le d’acc\u00e8s d\u00e9terminent les actions qu’un utilisateur peut effectuer sur des n\u0153uds sp\u00e9cifiques. <\/p>\n
Cela semble solide sur le papier. Dans la pratique, trois probl\u00e8mes viennent l’\u00e9branler. <\/p>\n
Tout d’abord, la sp\u00e9cification s’\u00e9tend sur 14 parties et est extraordinairement complexe. Elle est mise en \u0153uvre diff\u00e9remment selon les fournisseurs et les incoh\u00e9rences entre les mises en \u0153uvre cr\u00e9ent des failles exploitables. L’Office f\u00e9d\u00e9ral allemand pour la s\u00e9curit\u00e9 de l’information (BSI) a analys\u00e9 la version 1.04 d’OPC-UA et a constat\u00e9 que le param\u00e8tre \u00ab\u00a0SecurityPolicy : None\u00a0\u00bb, pr\u00e9vu pour les tests, est souvent laiss\u00e9 actif en production pour \u00e9viter les probl\u00e8mes de compatibilit\u00e9 ou les surco\u00fbts de performance. <\/p>\n
Deuxi\u00e8mement, la sp\u00e9cification n’impose pas la force du mot de passe. Les attaques brutales contre les comptes d’utilisateurs restent viables dans les environnements o\u00f9 les informations d’identification par d\u00e9faut ou faibles persistent. <\/p>\n
Troisi\u00e8mement, la complexit\u00e9 de la pile elle-m\u00eame g\u00e9n\u00e8re des vuln\u00e9rabilit\u00e9s. Entre 2022 et 2026, les \u00e9quipes de recherche de Claroty et Kaspersky ont document\u00e9 des failles critiques dans les impl\u00e9mentations OPC-UA des principaux fournisseurs. Il s’agit notamment d’attaques par d\u00e9ni de service au moyen de cha\u00eenes de certificats mal form\u00e9es et de l’inondation de morceaux, de la corruption de la m\u00e9moire au moyen d’un traitement UTF-8 mal form\u00e9 et de l’\u00e9puisement des ressources d\u00fb \u00e0 un nombre excessif de demandes de canaux s\u00e9curis\u00e9s. Chaque vuln\u00e9rabilit\u00e9 renforce la m\u00eame conclusion : la s\u00e9curit\u00e9 native ne fonctionne que lorsque l’impl\u00e9mentation est parfaite et la configuration stricte. Dans une usine dot\u00e9e d’un micrologiciel h\u00e9rit\u00e9 et d’une expertise limit\u00e9e en mati\u00e8re de s\u00e9curit\u00e9 informatique, cette hypoth\u00e8se est rarement valable. <\/p>\n
Modbus est le protocole industriel le plus ancien et le plus largement d\u00e9ploy\u00e9. Sa popularit\u00e9 tient \u00e0 sa simplicit\u00e9 : le protocole lit et \u00e9crit des registres (valeurs de 16 bits) et des bobines (valeurs de 1 bit). Rien de plus. Cette simplicit\u00e9 est \u00e9galement sa plus grande faiblesse. <\/p>\n
Le protocole existe en trois variantes principales. Modbus RTU communique sur des connexions s\u00e9rie (RS-485 ou RS-232) en utilisant des ID d’esclaves. Modbus ASCII est une variante s\u00e9rie moins efficace qui utilise des caract\u00e8res lisibles. Modbus TCP\/IP enveloppe les trames Modbus dans des paquets TCP sur le port 502 et est la variante la plus couramment expos\u00e9e aux attaques bas\u00e9es sur le r\u00e9seau. <\/p>\n
Aucune de ces variantes n’inclut une quelconque forme de s\u00e9curit\u00e9. Aucune authentification ne permet de v\u00e9rifier si une commande provient d’un syst\u00e8me SCADA autoris\u00e9 ou de l’ordinateur portable d’un pirate. Aucun cryptage ne prot\u00e8ge les donn\u00e9es en transit, de sorte que les valeurs de processus et les commandes de contr\u00f4le voyagent en clair. Les pirates peuvent abuser des codes de fonction standard pour \u00e9crire des registres, modifier des points de consigne, arr\u00eater des moteurs ou ouvrir des vannes. Et comme Modbus n’a pas de suivi de session ou d’horodatage, les commandes l\u00e9gitimes peuvent \u00eatre enregistr\u00e9es et rejou\u00e9es \u00e0 volont\u00e9. <\/p>\n
En 2018, l’Organisation Modbus a introduit Modbus\/TCP Security, qui enveloppe le trafic dans un tunnel TLS pour une authentification et un cryptage mutuels. L’adoption en 2026 reste minime. De nombreux PLC et RTU fonctionnent sur des microcontr\u00f4leurs 8 bits avec des kilo-octets de m\u00e9moire, physiquement incapables de g\u00e9rer les op\u00e9rations cryptographiques TLS. Le temps de latence ajout\u00e9 par TLS est inacceptable dans les processus en temps r\u00e9el o\u00f9 les millisecondes comptent. Et la gestion de milliers de certificats num\u00e9riques dans une usine sans connectivit\u00e9 internet fiable est un d\u00e9fi logistique que la plupart des \u00e9quipes d’OT ne sont pas en mesure de relever. <\/p>\n
R\u00e9sultat : Les appareils Modbus vendus aujourd’hui utilisent toujours par d\u00e9faut la variante non crypt\u00e9e pour des raisons de r\u00e9trocompatibilit\u00e9.<\/p>\n
Le cheminement de l’attaque est coh\u00e9rent d’un incident \u00e0 l’autre. Elle commence dans le r\u00e9seau informatique, pas dans l’usine. <\/p>\n
Un attaquant obtient un acc\u00e8s initial par le biais de l’hame\u00e7onnage, du vol d’informations d’identification ou d’un syst\u00e8me public vuln\u00e9rable. Ensuite, il se d\u00e9place lat\u00e9ralement dans l’environnement informatique jusqu’\u00e0 ce qu’il atteigne un syst\u00e8me qui fait le lien entre l’informatique et les technologies de l’information. Il peut s’agir d’un poste de travail d’ing\u00e9nieur avec deux connexions r\u00e9seau, d’un pare-feu mal configur\u00e9 ou d’un VPN de fournisseur qui accorde un large acc\u00e8s au r\u00e9seau de production. Une fois dans le segment OT, l’absence d’authentification dans Modbus et la mauvaise configuration fr\u00e9quente d’OPC-UA facilitent la manipulation du protocole. <\/p>\n
Les donn\u00e9es de l’industrie confirment cette tendance. Dragos a indiqu\u00e9 que plus de 75 % des incidents li\u00e9s aux technologies de l’information trouvent leur origine dans le r\u00e9seau informatique, le d\u00e9placement lat\u00e9ral \u00e9tant la principale technique utilis\u00e9e. Le temps de s\u00e9jour moyen dans les environnements OT, c’est-\u00e0-dire la p\u00e9riode pendant laquelle un attaquant n’est pas d\u00e9tect\u00e9, est d’environ 42 jours. Cela donne aux adversaires des semaines pour cartographier les processus, identifier les contr\u00f4leurs critiques et planifier leur attaque. <\/p>\n
L’Europe est devenue une cible privil\u00e9gi\u00e9e pour les attaques \u00e0 motivation op\u00e9rationnelle. Des groupes comme ELECTRUM ont men\u00e9 des op\u00e9rations destructrices contre des infrastructures \u00e9nerg\u00e9tiques en Ukraine et en Pologne, ciblant des syst\u00e8mes de chauffage et d’\u00e9nergie renouvelable. Les compagnies des eaux de plusieurs pays europ\u00e9ens ont signal\u00e9 des intrusions par le biais d’interfaces homme-machine expos\u00e9es \u00e0 l’internet et utilisant des identifiants par d\u00e9faut ou des exploits Modbus connus. Le passage de l’espionnage \u00e0 la perturbation active signifie que les cons\u00e9quences d’une intrusion dans le secteur des technologies de l’information ne se limitent plus au vol de donn\u00e9es. Elles s’\u00e9tendent aux dommages physiques, aux pertes de production et \u00e0 la s\u00e9curit\u00e9 publique. <\/p>\n
Pour comprendre comment ces attaques fonctionnent dans la pratique, consultez notre guide sur la convergence IT-OT<\/a>, qui pr\u00e9sente trois sc\u00e9narios sp\u00e9cifiques et les contr\u00f4les qui permettent d’arr\u00eater chacun d’entre eux.<\/p>\n La plupart des organisations s’appuient sur une ou plusieurs de ces m\u00e9thodes pour prot\u00e9ger les r\u00e9seaux industriels. Chacune d’entre elles s’attaque \u00e0 une partie du probl\u00e8me. <\/p>\nLes approches actuelles et leurs lacunes<\/h2>\n