Contexte de l’alerte CISA
Le CISA a publié un avis urgent concernant la persistance d’appareils d’automatisation industrielle (OT) connectés directement à Internet public. L’avertissement insiste sur quatre actions concrètes : suppression des connexions Internet non indispensables, remplacement immédiat des mots de passe par défaut, restriction stricte de l’accès à distance et renforcement de l’authentification ainsi que des protections réseau. Ces consignes sont présentées comme obligatoires, non comme options futures, afin de contenir la montée en puissance des menaces ciblant les systèmes industriels.
Spécificités du système JNIOR et du système d’exploitation JANOS
Les contrôleurs JNIOR exécutent le système d’exploitation propriétaire JANOS, conçu dès le départ pour répondre aux exigences mixtes d’OT et d’IT. La plupart des déploiements fonctionnent dans des réseaux isolés (air‑gapped) ou sous des contrôles d’accès stricts, mais l’équipe de développement a volontairement exposé certains appareils à des adresses IP publiques afin de reproduire le « pire scénario » et d’observer le trafic hostile en temps réel. Cette expérimentation a permis de mesurer la densité d’interrogations réseau : scans de ports, tentatives de connexion, empreintes de protocoles et attaques par force brute apparaissent en quelques minutes seulement, confirmant la nature « extrêmement hostile » du réseau public.
Défenses légères à faible empreinte
Face à la contrainte de ne pas pouvoir éliminer totalement la connectivité, l’article propose des mécanismes qui limitent la surface d’attaque sans imposer de charge de calcul supplémentaire. Parmi les mesures observées : désactivation systématique des services inutilisés, mise en place de listes de contrôle d’accès (ACL) au niveau du firmware, filtrage des adresses IP autorisées et limitation du nombre de tentatives de connexion par intervalle de temps. Ces techniques, bien que simples, obligent l’attaquant à investir davantage de temps et de ressources pour chaque tentative, tout en maintenant le contrôleur dédié à sa fonction première. L’accent est mis sur le fait que ces solutions ne requièrent ni mise à jour matérielle ni algorithmes cryptographiques gourmands, évitant ainsi une surcharge du processeur embarqué.
Analyse des limites et perspectives
Le texte souligne que les recommandations de CISA – notamment le renforcement de la cryptographie – peuvent entraîner une consommation de ressources non négligeable sur des appareils à capacité limitée. En l’absence de données chiffrées précises sur la consommation CPU ou la latence introduite, l’auteur met en garde contre une approche exclusivement axée sur la puissance de calcul. Il suggère plutôt d’adopter une stratégie en couches : d’abord éliminer les vecteurs d’accès évidents, puis appliquer des contrôles légers, et enfin, si nécessaire, envisager des solutions cryptographiques uniquement sur les flux critiques. Cette hiérarchisation permet de préserver la détermination temporelle requise par les applications OT tout en augmentant la résilience face aux attaques automatisées.
