Bosch PRAESENSA Guide D'installation page 30

30 fr | Procédures d'installation et instructions générales
–
–
La sécurité des contrôles est réalisée via TLS (Transport Layer Security). Ce mécanisme
nécessite une liaison TCP et une clé pré-partagée (PSK). Le PSK doit être présent sur un
appareil pour qu'il soit possible d'établir une connexion sécurisée avec ce dernier. OMNEO
utilise la méthode d'échange de clés Diffie-Hellman pour permettre à deux éléments qui ne se
connaissent pas au préalable d'établir conjointement une clé secrète partagée sur un canal
non sécurisé. Cette clé peut ensuite être utilisée pour chiffrer les communications ultérieures.
Cette solution présente une courte période de vulnérabilité lorsque la clé par défaut d'usine
est remplacée par une clé spécifique au système. À ce moment, les attaquants peuvent
découvrir la clé du système en effectuant une écoute clandestine de l'échange de clés Diffie-
Hellman pendant la configuration de la connexion avec la clé d'usine par défaut. Il est
préférable que cette partie de la configuration s'effectue sur un réseau fermé. Le PSK est
stocké de manière permanente dans l'appareil. Pour modifier la clé PSK ultérieurement, vous
devez connaître la clé. Si la clé est perdue et/ou que les dispositifs sont transférés d'un
système à un autre, un commutateur de réinitialisation manuelle permet de réinitialiser un
appareil sur sa valeur d'usine par défaut. Cette opération nécessite l'accès physique au poste.
La suite de chiffrement utilisée par OMNEO est TLS_DHE_PSK_WITH_AES_128_CBC_SHA. Cela
signifie :
–
–
La sécurité audio utilise une implémentation propriétaire d'un algorithme normalisé pour le
chiffrement et l'authentification. La raison principale de cette opération est la faible latence
requise, mais elle n'ajoute que 0,1 ms pour le codage plus le décodage. Elle utilise le
chiffrement AES 128 en mode de retour de chiffrement (CFB) pour la synchronisation
automatique, même lorsque le flux audio est reçu beaucoup plus tard qu'au moment de son
démarrage, ou lorsque certains échantillons ont été perdus pendant la réception. Seuls six
échantillons audio (125 µs à taux d'échantillonnage 48 kHz) sont suffisants pour effectuer une
nouvelle synchronisation.
Pour l'authentification, l'algorithme utilise le contrôle d'accès obligatoire basé sur le
chiffrement, CMAC. Huit bits sont ajoutés à chaque échantillon audio 24 bits, ce qui permet
d'obtenir des échantillons 32 bits.
L'algorithme de sécurité audio utilise une clé prépartagée qui doit être identique pour
l'émetteur et le récepteur. La clé est conservée de manière volatile sur l'appareil et est perdue
après le redémarrage. Elle doit donc être rediffusée via une connexion de contrôle sécurisée.
Une clé aléatoire est définie à chaque création d'une connexion audio, de sorte que chaque
liaison audio possède une clé différente.
Les autres mesures de sécurité dans PRAESENSA sont les suivantes :
–
–
2021-09-14 | V1.40 | PRAESENSA
Sécurité du contrôle, à l'aide du chiffrement et de l'authentification des données de
commande TCP (OCA).
Sécurité audio, à l'aide du chiffrement et de l'authentification des flux audio.
Chiffrement 128 AES.
Authentification et intégrité des données HMAC-SHA-1.
Le contrôleur système stocke les mots de passe et les échange à l'aide des clients
d'interface de commande personnalisée/API en utilisant l'algorithme de hachage sécurisé
SHA-2 (version SHA-256).
La sauvegarde de la configuration et des messages est possible via une connexion
sécurisée authentifiée (HTTPS) sur la base de la sécurité de la couche de transport
(TLS 1.2).
Guide d'installation
PRAESENSA
Bosch Security Systems B.V.