Protéger ses équipements de sûreté
Parlons technique · Cybersécurité
Caméras, lecteurs de badges, centrales d’alarme, automates de chauffage : les équipements qui protègent un bâtiment sont devenus des ordinateurs reliés au réseau. Mal protégés, ils deviennent la porte d’entrée qu’ils étaient censés fermer. Voici, sans jargon, les bases pour qu’ils restent du bon côté.
Héberger ce site à la maison depuis le milieu des années 2000 m’a appris très tôt qu’un équipement branché sur Internet se défend. La cybersécurité est une passion de toujours, comme le reste : voici l’essentiel de ce qu’elle m’a appris sur la sûreté.
En deux mots
- Un équipement de sûreté connecté est un ordinateur : il a des comptes, un logiciel et des failles. Il se protège comme un ordinateur.
- La plupart des piratages passent par trois portes : un mot de passe d’origine jamais changé, un logiciel jamais mis à jour, un équipement exposé directement sur Internet.
- La règle d’or est le cloisonnement : caméras, badges et GTB vivent sur leur propre réseau, séparé de la bureautique et d’Internet.
- Les accès à distance des prestataires sont la porte la plus souvent oubliée : une seule entrée, contrôlée, ouverte à la demande et tracée.
- La sécurité n’est jamais terminée : inventaire, mises à jour, surveillance et exercices durent autant que l’installation.
Pourquoi la sûreté est devenue une cible
Il y a vingt ans, une caméra envoyait son image sur un câble coaxial et une centrale d’alarme appelait par la ligne téléphonique : bien difficile de les pirater depuis l’autre bout du monde. Aujourd’hui, tout passe par le réseau informatique. Installer une caméra IP, c’est ajouter un ordinateur au réseau, et dans un bâtiment moderne, ces petits ordinateurs se comptent par dizaines ou par centaines, souvent oubliés au plafond. Les informaticiens parlent de convergence entre l’IT (l’informatique de bureau) et l’OT (les systèmes techniques qui pilotent le bâtiment) : les deux mondes partagent désormais les mêmes câbles, et donc les mêmes risques.
.jpg){kind=link}
Trois histoires vraies
Les trois portes d’entrée
Le mot de passe d’origine
« admin », « 1234 », « 888888 » : les mots de passe livrés d’usine figurent dans des listes publiques, et des programmes les essaient automatiquement, jour et nuit, sur tout ce qui répond. La parade est simple, mais doit être systématique : un mot de passe différent pour chaque équipement, rangé dans un coffre-fort de mots de passe, des comptes nominatifs plutôt qu’un compte « admin » partagé par tous, et la double authentification sur les applications et les portails cloud.
Le logiciel pas à jour
Chaque semaine, des failles sont découvertes et publiées, avec un numéro de référence (CVE). Dès qu’une faille est connue, des pirates la recherchent sur Internet, parfois en quelques jours. Mettre à jour le micrologiciel des caméras, des enregistreurs et des contrôleurs fait donc partie de l’entretien, au même titre que changer les piles d’un détecteur. Et quand un fabricant arrête de suivre un produit (on parle de fin de support), il faut prévoir son remplacement. Quelques exemples récents : Citrix NetScaler et Palo Alto, GLPI.
L’équipement exposé sur Internet
Pour consulter ses caméras depuis son téléphone, la tentation est grande d’ouvrir un port sur la box (la fameuse redirection de port) ou d’activer le service cloud « magique » du fabricant. Des moteurs de recherche spécialisés, comme Shodan, recensent en permanence les équipements ainsi exposés : une caméra ouverte sur Internet est trouvée en quelques heures. Mieux vaut passer par un VPN ou par une passerelle sécurisée, et se méfier des services d’accès par simple numéro de série (lire Caméras Dahua piratées en Ukraine).
La défense en profondeur
Comme pour une alarme intrusion, on protège en couches. Si l’une cède, la suivante tient encore : un pirate qui franchit le pare-feu tombe sur un réseau cloisonné, puis sur un équipement qui ne se laisse pas faire.
Cloisonner le réseau
C’est la mesure la plus efficace, et la plus souvent négligée. Les caméras n’ont aucune raison de dialoguer avec la comptabilité, ni le Wi-Fi des visiteurs avec les lecteurs de badges.
Les accès à distance : la porte la plus oubliée
Mainteneur de l’alarme, de la GTB, de la vidéo : chacun a besoin d’intervenir à distance, et chacun installe volontiers son propre outil. Résultat, un même site cumule parfois une demi-douzaine d’accès oubliés, toujours ouverts. La bonne pratique tient en quelques mots : une seule passerelle (VPN ou bastion), des comptes nominatifs avec double authentification, des accès ouverts à la demande puis refermés, et une trace de chaque connexion (lire Moxa : quand l’outil d’accès distant devient la porte d’entrée).
Les bons réflexes au quotidien
| Réflexe | Pourquoi |
|---|---|
| Tenir un inventaire : équipements, versions, comptes, emplacements | On ne protège pas ce que l’on ne connaît pas |
| Changer tous les mots de passe d’origine, un par équipement | C’est la première chose que les robots essaient |
| Appliquer les mises à jour, remplacer ce qui n’est plus suivi | Une faille publiée est exploitée en quelques jours |
| Couper ce qui ne sert pas : Telnet, FTP, UPnP, services cloud inutiles | Chaque service ouvert est une porte de plus |
| Chiffrer : HTTPS avec de vrais certificats, OSDP Secure Channel pour les lecteurs, SNMPv3 pour la supervision | Ce qui circule en clair peut être lu ou rejoué |
| Surveiller : journaux centralisés, alerte si un équipement se tait ou se connecte bizarrement | Une attaque repérée tôt coûte beaucoup moins cher |
| Sauvegarder les configurations et prévoir un mode dégradé | Pour repartir vite après une panne ou une attaque |
| Gérer les départs : badge et comptes supprimés le jour même | Un ancien salarié ou prestataire garde sinon ses accès |
Un principe de conception complète cette liste : la sécurité incendie doit rester autonome. La GTB peut afficher l’état du système de sécurité incendie, jamais commander la mise en sécurité : une attaque informatique ne doit pas pouvoir empêcher un désenfumage (lire Bâtiment intelligent et NIS2).
Ce que disent les règles
- RGPD : images et historiques de badges sont des données personnelles. Une fuite présentant un risque pour les personnes doit être signalée à la CNIL dans les 72 heures.
- NIS2 : cette directive européenne de 2022 étend les obligations de cybersécurité à des milliers d’organisations (énergie, santé, transports, collectivités, industrie). En France, sa transposition, le projet de loi « résilience », est encore en discussion au Parlement à l’automne 2026, et l’ANSSI en sera l’autorité. Même un propriétaire non concerné y sera exposé : ses locataires soumis à NIS2 exigeront des garanties sur les systèmes du bâtiment.
- Cyber Resilience Act : depuis le 11 septembre 2026, les fabricants doivent signaler les failles activement exploitées ; à partir du 11 décembre 2027, les produits connectés vendus dans l’Union devront respecter des exigences de cybersécurité pour obtenir le marquage CE.
- ANSSI : l’agence publie un guide d’hygiène informatique, un guide dédié au contrôle d’accès et à la vidéoprotection, et certifie certains produits (CSPN).
Ce qu’il faut retenir
- Un équipement de sûreté connecté est un ordinateur : il se protège comme tel.
- Fermez les trois portes : mots de passe d’origine, logiciels pas à jour, exposition sur Internet.
- Cloisonnez : un réseau pour la sûreté, un pare-feu entre les usages, seulement les échanges utiles.
- Encadrez les accès à distance : une seule passerelle, des comptes nominatifs, la double authentification, des connexions tracées.
- Inscrivez la sécurité dans la durée : inventaire, mises à jour et exercices font partie du contrat de maintenance.
Petit lexique
- Bastion : serveur par lequel passent obligatoirement les accès d’administration, qui les contrôle et les enregistre.
- Botnet : réseau d’appareils piratés, souvent des caméras ou des box, commandés à distance pour mener des attaques.
- Coffre-fort de mots de passe : logiciel qui conserve les mots de passe chiffrés, pour en avoir un différent par équipement sans les retenir.
- CVE : numéro de référence public d’une faille de sécurité, utilisé pour savoir si un équipement est concerné.
- Défense en profondeur : protection en plusieurs couches successives, pour qu’une défaillance ne suffise pas à tout ouvrir.
- Double authentification : connexion qui demande, en plus du mot de passe, une seconde preuve (code reçu, application, clé).
- Durcissement : réglage d’un équipement pour réduire ses points faibles (mots de passe, services inutiles coupés, chiffrement).
- Fin de support : date après laquelle un fabricant ne corrige plus les failles d’un produit.
- IT, OT : l’informatique de gestion (IT) et les systèmes techniques qui pilotent le bâtiment ou l’industrie (OT).
- Journalisation : enregistrement des connexions et des actions, pour détecter une anomalie et comprendre un incident.
- Moindre privilège : principe qui consiste à ne donner à chacun que les droits dont il a réellement besoin.
- NIS2 : directive européenne qui impose des mesures de cybersécurité à de nombreuses organisations jugées importantes ou essentielles.
- Rançongiciel : logiciel malveillant qui chiffre les données ou bloque les systèmes, puis réclame une rançon.
- Redirection de port : réglage d’une box ou d’un routeur qui rend un équipement interne joignable depuis Internet, à éviter pour la sûreté.
Pour aller plus loin
Les derniers articles de la rubrique Cybersécurité :
- WordPress 7.1.4 : 22 failles corrigées, et un dossier à fermer à clé sur votre serveurWordPress 7.1.4, sortie le 28 octobre et reprise par le CERT-FR, corrige 22 vulnérabilités, dont une exécution de code à distance pendant les mises à jour. Voici quoi mettre à jour et ce que je vérifierais sur un WordPress auto-hébergé.
- GoAhead : le petit serveur web caché dans vos équipements a des soucis de TLSLe chercheur Sébastien Féry (FoxIO) a mis au jour trois failles TLS dans GoAhead, serveur web embarqué dans d’innombrables routeurs, automates et objets connectés. Le correctif 6.1.1 existe, encore faut-il qu’il arrive dans les firmwares de vos équipements.
- ICONICS GENESIS64 : votre supervision GTB mérite une mise à jour (et MC Works64 un plan de migration)La CISA a relayé le 27 octobre l’avis de Mitsubishi Electric sur la gamme de supervision ICONICS : contournement d’authentification, permissions DCOM trop larges et faille libwebp. Les correctifs existent pour GENESIS64 et GENESIS, mais MC Works64, GENESIS32 et BizViz n’en auront pas.
Sources : ANSSI, Guide d’hygiène informatique et Recommandations sur la sécurisation des systèmes de contrôle d’accès physique et de vidéoprotection ; CNIL, Notifier une violation de données personnelles ; Commission européenne, Directive NIS2 et Cyber Resilience Act ; Cepro, Hackers Breach 150,000 Verkada Cameras (mars 2021).
Commentaires
Aucun commentaire pour l'instant : lancez la discussion.