Introduction

L'objectif de la communication chiffrée est de protéger les canaux de communication qui permettent d'accéder à distance aux ressources critiques du système (telles que l'application intégrée PAC, le micrologiciel). IPsec (acronyme d'Internet Protocol Security) est un standard ouvert défini par l'IETF, qui assure des communications privées et protégées sur des réseaux IP en combinant des protocoles de sécurité et des mécanismes de chiffrement. Notre implémentation de la protection IPsec inclut l'anti-relecture, la vérification de l'intégrité des messages et l'authentification de l'origine des messages.

Le protocole IPsec est pris en charge sur Microsoft Windows versions 7 et 10. Il est mis en œuvre à partir du système d'exploitation du PC.

Description

La fonction IPsec permet de sécuriser :

• l'accès Modbus de la salle de contrôle à la CPU PAC via le module BMENOC0301/11 ;

• l'accès de la salle de contrôle aux services de communication exécutés à l'intérieur du module BMENOC0301/11 en mode serveur (Modbus, EtherNet/IP, HTTP, FTP, SNMP).

Connexion sans fil : Lorsqu'un module sans fil PMXNOW0300 est utilisé pour configurer une connexion sans fil, configurez celui-ci avec les paramètres de sécurité maximum disponibles (WPA2-PSK).

Exemple d'architecture

La figure suivante montre, à travers un exemple, les différents protocoles ou services impliqués dans une communication chiffrée entre la salle de contrôle et un PAC Modicon M580.

Communication chiffrée (IPsec).

Communication non IPsec.

Flux de données avec fonction de communication chiffrée

Utilisez ces services pour faciliter les communications lorsque le protocole IPsec est activé :

Limitations

Limitations d'IPsec dans l'architecture : BMENOC0301/11 ne prend pas en charge le transfert IP vers le réseau d'équipements.

Si la transparence est requise entre le réseau de contrôle et le réseau d'équipements, un routeur/VPN externe est nécessaire pour fournir chiffrer la communication entre le réseau de contrôle et le réseau d'équipements (comme indiqué dans l'exemple d'architecture précédent).

La transparence est requise pour exécuter les opérations suivantes à partir du réseau de contrôle :

• Mettez à jour le micrologiciel de la CPU Modicon M580 depuis le Automation Device Maintenance via le service HTTPS ou depuis le logiciel Unity Loader via le service FTP.

• réalisation d'un diagnostic réseau de la CPU Modicon M580 à partir d'un outil de gestion de réseau via le service SNMP ;

• diagnostic d'une CPU Modicon M580 à partir d'un DTM via le service EIP ;

• diagnostic d'une CPU Modicon M580 à partir d'un navigateur Web via le service HTTP ;

• consignation des événements de cybersécurité d'une CPU Modicon M580 dans un serveur syslog via le service syslog ;

• synchronisation de l'heure de la CPU Modicon M580 à partir d'un serveur de temps global via le service NTP.

Configuration de la communication IPsec dans l'architecture du système

Pour configurer la communication IPsec, procédez comme suit :

• Dans la salle de contrôle, identifiez les applications clientes autorisées qui doivent communiquer avec le PAC à l'aide de Modbus (Control Expert, Automation Device Maintenance, Unity Loader, OFS, applications client telles que SGBackup, ...).

  Configurez IPsec sur chaque PC prenant en charge ces applications autorisées.

• Dans la salle de contrôle, identifiez les applications clientes autorisées qui doivent communiquer avec chaque module BMENOC0301/11 configuré dans le rack local (Control Expert DTM, Automation Device Maintenance, Unity Loader, gestionnaire SNMP, navigateur Web, concepteur Web pour module FactoryCast BMENOC0301/11).

  Configurez IPsec sur chaque PC prenant en charge ces applications autorisées.

• Intégrez un module BMENOC0301/11 avec fonction IPsec dans l'embase de chaque PAC connecté au réseau de contrôle.

  Pour configurer la fonction IPsec sur un module BMENOC0301/11, procédez en deux étapes :

  • Activez la fonction IPsec.

  • Configurez une clé pré-partagée. Une clé pré-partagée permet de créer un secret partagé autorisant deux équipements à s'authentifier l'un l'autre.

    NOTE : reposant sur ce secret partagé, IPsec est un élément clé de la stratégie de sécurité gérée par l'administrateur de sécurité. Pour renforcer la sécurité de la clé pré-partagée, nous vous recommandons d'utiliser un outil externe tel que KeePass pour générer une chaîne de caractères appropriée.

Le module BMENOC0301/11 est configuré avec Control Expert. Initialement, l'application est téléchargée via le lien USB. Les téléchargements ultérieurs sont effectués par Ethernet avec fonction IPsec si IPsec est activé.

Chaque PC prenant en charge IPsec doit être conforme aux exigences suivantes pour la configuration IPsec :

• Utiliser le système d'exploitation Microsoft Windows 10.

• Détenir les droits d'administrateur permettant de configurer IPsec.

  Une fois la configuration IPsec effectuée, définissez le compte Windows comme un compte utilisateur normal sans droits d'administrateur.

• Renforcez la protection du PC en procédant comme indiqué dans la rubrique Sécurisation renforcée du PC.

Pour plus d'informations sur la configuration, consultez la rubrique Configuration des communications IP sécurisées .

Générer des clés pré-partagées les plus sécurisées possible

La sécurité des communications IPsec repose sur la complexité de la clé pré-partagée. Nous recommandons l'utilisation d'outils spécialisés pour générer des clés pré-partagées d'une sécurité optimale.

Notamment KeePass, que vous pouvez télécharger gratuitement à partir d'Internet. Téléchargez KeePass, installez-le sur votre PC et lancez-le.

Configurez KeePass v2.34 et utilisez-le pour générer des mots de passe utilisables comme clés pré-partagées :

Diagnostic de la communication IPsec dans l'architecture du système

Pour plus d'informations sur le diagnostic IPsec dans l'architecture du système, consultez la rubrique Configuration des communications IP sécurisées.