Robots manipulés depuis un réseau d'usine : la faille TSN qui met à mal la synchronisation

Une faille dans le protocole temps réel

Une recherche présentée par Nozomi Networks au Black Hat USA de cette année montre que des faiblesses dans les protocoles Time-Sensitive Networking (TSN) peuvent être exploitées pour modifier toutes les variables de processus d'un réseau TSN. Le travail, mené par le chercheur principal en sécurité Luca Cremona, a démontré comment contrôler des bras robotiques et altérer les horloges de synchronisation OT.

Le protocole analysé est CC-Link IE TSN, une implémentation TSN développée par Mitsubishi Electric et parmi les plus répandues dans l'automatisation industrielle. La faille a été signalée dans un avis CISA du 30 juillet 2026, identifié comme ICSA-26-211-07. Mitsubishi Electric a finalisé l'acquisition de Nozomi Networks en janvier 2026, pour un montant d'environ un milliard de dollars. Nozomi opère comme filiale entièrement détenue mais indépendante, avec une feuille de route neutre vis-à-vis des fournisseurs.

Ni la recherche ni l'avis n'indiquent une version spécifique du protocole : la faiblesse réside dans le protocole lui-même. Pour les commutateurs TSN Phoenix Contact impliqués dans une seconde série de vulnérabilités, les modèles exacts n'ont pas été listés publiquement.

La précision du TSN et la similitude avec GOOSE

Le TSN est une famille de protocoles de synchronisation relativement nouvelle, née comme un ensemble d'amendements aux spécifications IEEE pour le pontage. L'objectif est de fournir une communication déterministe sur Ethernet standard dans l'automatisation industrielle. Le problème qu'il résout est critique : lorsque les signaux de sécurité OT et les messages de contrôle synchronisé partagent la même infrastructure Ethernet avec le trafic IT best-effort, les collisions peuvent provoquer des arrêts non planifiés avec des conséquences physiques dans les installations.

Les messages critiques doivent être livrés en quelques microsecondes entre les contrôleurs et les dispositifs de terrain. S'ils n'arrivent pas à temps, les minuteries de surveillance (watchdog) se déclenchent et les machines passent en arrêt de protection. Le TSN attribue une priorité absolue aux flux les plus critiques, comme les signaux des boutons d'arrêt d'urgence, qui doivent transiter à tout prix même lorsque le réseau est congestionné.

Lors de l'analyse, Cremona a remarqué une similitude entre CC-Link IE TSN et le protocole GOOSE, utilisé dans la distribution d'énergie et connu pour des problèmes de séquencement temporel prévisible. En reproduisant des techniques d'attaque déjà employées contre GOOSE, l'équipe a procédé à la rétro-ingénierie du comportement de synchronisation de CC-Link IE TSN. Elle a réussi à prédire des valeurs valides et à manipuler les signaux E/S cycliques.

L'injection de trames dans le bon créneau temporel

La vulnérabilité permet d'injecter des trames spécialement construites dans le créneau temporel correct, les faisant accepter comme des communications planifiées légitimes. Pour l'exploiter, il faut un accès au réseau TSN, normalement non exposé à l'extérieur. À partir de là, l'équipe a soumis les commutateurs TSN Phoenix Contact à des tests de stress, découvrant des bogues qui permettent d'atteindre le port de processus depuis l'interface de gestion distante utilisée par les ingénieurs.

Le point d'entrée le plus important est l'interface de gestion du commutateur TSN. Elle peut être exposée sur un réseau plus large ou atteinte par un dispositif faux ou altéré à proximité du réseau. Une fois l'accès à cette interface obtenu et si le commutateur est vulnérable, l'attaquant a le contrôle. Bien que CC-Link IE TSN dispose d'un modèle de sécurité et d'une protection cryptographique optionnelle des données utilisateur, les lacunes dans les défenses de niveau 2 offrent un chemin plus simple pour injecter du trafic dans le flux de communication.

Conséquences physiques : robots, pinces et dérives silencieuses

L'impact va au-delà de la lecture des données. La recherche démontre la possibilité de modifier toutes les variables de processus dans le réseau TSN. Le scénario le plus impactant présenté implique le démarrage et l'arrêt de bras robotiques, l'ouverture des pinces et la chute d'objets transportés.

Il existe aussi des attaques silencieuses. L'altération sournoise des horloges de synchronisation OT peut introduire de petits écarts presque imperceptibles. Les effets sur la planification des processus ne se manifestent qu'après un certain temps et rendent difficile de remonter au moment de l'attaque. Les conséquences physiques dans les installations industrielles incluent des arrêts soudains, la falsification de processus critiques pour la sécurité et la perte de contrôle sur les machines.

Défenses et remédiation : que faire maintenant

Dans l'immédiat, la recommandation est de maintenir à jour le micrologiciel de tous les dispositifs de réseau OT. Pour les failles de l'interface de gestion des commutateurs Phoenix Contact TSN, un correctif micrologiciel est déjà disponible. La segmentation du réseau reste la défense la plus efficace à l'heure actuelle : les réseaux TSN doivent être maintenus bien séparés, empêchant les attaquants de passer d'un réseau à l'autre sans les autorisations appropriées.

Nozomi collabore avec la maison mère Mitsubishi Electric pour une remédiation à long terme de la faiblesse TSN sous-jacente. L'ajout de primitives cryptographiques pour protéger le réseau et démontrer que les messages proviennent du bon expéditeur est à l'étude. Le défi réside dans la tension entre performances et sécurité : ajouter du chiffrement à un système qui exige une précision temporelle inférieure à la microseconde est complexe, mais les premiers tests indiquent que la solution cryptographique proposée est faisable.

La recherche est limitée à un seul protocole TSN, mais elle est considérée comme un point de départ pour l'industrie. L'objectif est d'analyser les faiblesses d'autres protocoles reposant sur les primitives TSN. La session enregistrée du Black Hat reste disponible à la demande pour les participants jusqu'au 14 septembre.