Page 11 - 260804_BACnet_Journals_France_19

Dossier Cybersécurité

BACnet/SC pour les nuls

Un rappel technique nécessaire Ce changement de transport apporte trois Une conséquence organisationnelle à ne
garanties que BACnet/IP classique n’offre pas : pas sous-estimer
À mesure que les échéances réglementaires ƒ La confidentialité – les échanges sont
se rapprochent – NIS2, le CRA, le guide ANSSI chiffrés par TLS, ce qui empêche un tiers Cette architecture de confiance a une
GTB/GTC – le sigle BACnet/SC revient dans présent sur le réseau de lire le contenu implication concrète pour ceux qui l’exploitent :
toutes les conversations sans que sa mécanique des trames. gérer un réseau BACnet/SC, c’est gérer un cycle
interne soit toujours bien comprise. Avant d’aller ƒ L’authentification mutuelle – chaque de vie de certificats – leur émission initiale,
plus loin dans nos analyses réglementaires, il équipement doit prouver son identité avant leur renouvellement avant expiration, et leur
paraît utile de revenir aux fondamentaux : que de pouvoir communiquer, grâce à un révocation rapide si un équipement est suspecté
fait réellement BACnet/SC, et en quoi diffère-t-il certificat numérique. compromis ou remplacé sans procédure propre.
de BACnet/IP classique ? ƒ L’intégrité des messages – un message C’est une compétence que le monde BACnet/
modifié en transit est détecté et rejeté, ce IP traditionnel n’exigeait pas, et qui rapproche
Le problème que BACnet/SC vient qui empêche la falsification de com- la gestion d’un réseau de GTB des pratiques
résoudre mandes envoyées à un automate. classiques d’une direction des systèmes
d’information.
BACnet, normalisé en 1995, a été conçu pour un L’architecture : un modèle hub-and-spoke
objectif précis : garantir l’interopérabilité entre piloté par certificats Pourquoi ce protocole compte aujourd’hui
équipements de fabricants différents sur un plus qu’hier
même réseau de gestion technique du bâtiment. BACnet/SC repose sur une topologie hub-
Sa version la plus répandue aujourd’hui, BACnet/ and-spoke : un hub central assure le routage BACnet/SC n’est plus un simple raffinement
IP, s’appuie sur le protocole UDP et diffuse ses des messages entre l’ensemble des nœuds du technique optionnel. Il répond directement aux
messages sur un réseau IP classique, souvent réseau, avec la possibilité de déployer un hub de objectifs que portent les textes réglementaires
partagé avec d’autres usages informatiques du secours pour la redondance sur les installations traités dans ce journal : authentification des
bâtiment. critiques. Des connexions directes entre deux équipements et chiffrement des communications
nœuds, sans passer par le hub, restent possibles figurent parmi les mesures attendues par le
Cette conception n’a jamais intégré de mécanisme en option pour certains échanges nécessitant référentiel ReCyF de l’ANSSI pour la mise en
de sécurité natif. Les trames BACnet/IP circulent une latence minimale. conformité NIS2, et les recommandations du
en clair : n’importe quel équipement présent sur guide ANSSI GTB/GTC sur l’isolation des flux
le même segment réseau peut les lire, et rien Ce qui rend cette architecture sûre, c’est le d’administration trouvent, avec BACnet/SC,
n’empêche un émetteur de se faire passer pour mécanisme d’authentification qui la sous- une réponse native et par conception là où elles
un autre – il n’existe aucune authentification des tend : chaque équipement du réseau – qu’il imposaient jusqu’ici un tunnel VPN ajouté en
équipements qui communiquent entre eux. Tant s’agisse d’un simple contrôleur de terrain ou périphérie d’un protocole resté vulnérable. La
que les réseaux de GTB restaient physiquement du hub lui-même – doit disposer d’un certificat compatibilité ascendante continue avec BACnet/
isolés du reste du système d’information, cette numérique (norme X.509) signé par une autorité SC, et donc l’investissement déjà fait pour
absence de sécurité native restait un risque de certification reconnue par l’ensemble du BACnet sera préservé pour l’utilisateur.
théorique. La convergence avec les réseaux réseau. Lorsqu’un équipement tente d’établir
IT et l’exposition croissante des installations à une connexion, il présente son certificat ; le Comprendre ce que fait réellement BACnet/SC
la supervision distante ont changé la donne : récepteur vérifie qu’il a bien été signé par – et pas seulement retenir qu’il s’agit de « la
cette faiblesse protocolaire est devenue une l’autorité de confiance attendue avant d’accepter version sécurisée de BACnet » – est la condition
vulnérabilité concrète et documentée. l’échange. Un équipement qui ne dispose pas pour engager une migration cohérente :
d’un certificat valide ne peut, par construction, un chiffrement mal compris se traduit vite par
Ce que change BACnet/SC : une nouvelle rejoindre le réseau – ce qui élimine le risque une architecture de certificats bâclée, qui finit
couche de transport qu’un appareil non autorisé, branché sur le par coûter plus cher en exploitation que la
réseau physique, puisse se faire passer pour un vulnérabilité qu’elle était censée corriger.
BACnet Secure Connect (BACnet/SC), défini par automate légitime.
l’Addendum 135-2016bj à la norme BACnet,
ne se contente pas d’ajouter un chiffrement en
périphérie d’un protocole inchangé. Il remplace
la couche de transport elle-même : au lieu de
diffuser des trames UDP en clair, BACnet/
SC établit des connexions WebSocket sur TLS
entre les équipements. Concrètement, chaque
échange devient une session point à point, Dan Napar
chiffrée et authentifiée, alors que BACnet/IP Président BACnet FranceMembre Advisory Group BIG-EU
diffusait ses messages en clair sur un segment dan.napar@outlook.comDN Consulting
réseau partagé.

11
BACnet France Journal 19 09/26 11