Le MFA pour vos équipements OT anciens. Rien à modifier sur les machines.
Un automate ou un vieil HMI ne sait pas gérer le MFA. Ce guide compare les cinq façons de le placer devant la machine, et présente notre approche : une DMZ in a box, une seule appliance par site.
Dernière mise à jour :
Pour ajouter une authentification forte (MFA) sur un équipement OT ancien, placez le contrôle devant l'équipement. Un automate, un HMI ou un serveur SCADA en fin de vie ne gère souvent ni SAML, ni OIDC, ni RADIUS, et aucune mise à jour de firmware ne changera cela.
Quatre architectures sont courantes : une passerelle ZTNA ou un VPN industriel, un bastion PAM, un micro-pare-feu avec portail captif et un agent sur le poste. Dans tous les cas, prévoyez un accès de secours (« Break-Glass »).
Les outils habituels s'arrêtent trop tôt. Un VPN avec MFA authentifie le tunnel une seule fois, puis laisse passer un trafic sans identité. Un serveur de rebond restreint le chemin d'accès, mais se connecte encore à la machine avec un compte partagé.
En milieu industriel, ce qui fonctionne, c'est donc un point de contrôle devant les équipements, qui :
- Authentifie la personne
- Limite l'accès aux machines autorisées, pour une durée définie
- Conserve la trace de ce qui a été fait
Access Gate place ce point de contrôle dans une DMZ in a box : une seule appliance par site, branchée à côté du réseau, sans rien installer sur les machines.
Cinq architectures pour ajouter le MFA aux équipements OT anciens.
Les cinq architectures placent le MFA en amont de la machine. Elles diffèrent par ce qu'elles couvrent et par ce qu'il faut changer dans l'usine. Le bon choix dépend du chemin à protéger : accès distant, session d'administration ou accès local.
| Architecture | Où se place le MFA | Ce qui change dans l'usine | Limite | Adaptée à |
|---|---|---|---|---|
| Passerelle ZTNA ou VPN industriel | À l'entrée du réseau | Une passerelle en périphérie | Ne couvre pas les accès locaux. Avec un VPN, l'accès s'étend souvent à tout un sous-réseau | Les accès distants des prestataires |
| Bastion d'administration PAM (Wallix, CyberArk, BeyondTrust) | Sur le bastion | Un bastion à déployer et des comptes à intégrer | Une route directe vers l'automate reste ouverte tant que le réseau n'est pas segmenté | Les sessions d'ingénierie et d'administration |
| Micro-pare-feu avec portail captif (Fortinet, Cisco, Moxa) | Sur un portail devant la machine | Un équipement à insérer devant chaque cellule ou machine | Le coût et l'administration des règles augmentent avec le nombre de cellules | Une cellule critique à isoler localement |
| Agent MFA sur le poste (Cisco Duo, par exemple) | Sur la session Windows ou Linux | Un agent à installer sur chaque poste | Ne protège ni les automates ni les OS trop anciens pour recevoir l'agent | Les postes et consoles récents |
| DMZ in a box (Access Gate) | Sur l'appliance, avant la machine | Une appliance par site, branchée à côté du réseau, et une règle sur le routeur existant | Ne protège que les chemins dirigés vers l'appliance. Les autres chemins restent à fermer | Un parc mixte : automates anciens, accès locaux et distants |
Notre approche : une DMZ in a box.
Une DMZ industrielle dans une seule appliance
Une DMZ industrielle demande en général des pare-feu, un bastion, des proxys et un projet réseau. Access Gate, édité par le français Trout Software, réunit le filtrage entre zones, le proxy d'authentification et le bastion dans une appliance par site. Chaque machine ou cellule peut ainsi avoir sa propre micro-DMZ.
Le parcours d'une session
L'utilisateur ouvre un écran d'accès dans son navigateur et s'authentifie auprès de votre annuaire, avec son MFA. Le TOTP fonctionne hors ligne, y compris sur les sites isolés. L'accès s'ouvre pour 15 minutes, 1 heure ou 8 heures, vers les machines autorisées. Les sessions RDP, SSH, VNC et HTTPS passent par le navigateur, et la machine ne voit qu'une connexion venant d'Access Gate.
Ce qui change sur le réseau
Vous branchez Access Gate à côté du réseau et ajoutez une règle sur le routeur existant. Les automates, leur firmware et leurs adresses IP ne changent pas. Supprimer la règle suffit pour revenir en arrière. L'installation prend une journée par site, et a pris 4 heures par site chez Thales.
Prévoyez un accès de secours (« Break-Glass »)
Une panne du MFA ou du fournisseur d'identité ne doit pas bloquer la conduite. Prévoyez un compte nominatif réservé aux urgences, avec un second facteur hors ligne et une journalisation renforcée, et testez-le. Avec Access Gate, si l'appliance est hors ligne, le réseau continue de fonctionner, et les opérateurs gardent la main sur leurs pupitres locaux. Un fournisseur d'identité installé sur site n'a besoin que du réseau local, donc une coupure d'Internet n'empêche pas l'authentification.
Ce que recouvre l'authentification OT.
L'authentification OT est le contrôle qui prouve l'identité d'une personne avant l'ouverture d'une session vers une machine industrielle. Dans un réseau bureautique, ce contrôle s'exécute sur l'ordinateur ou dans l'application. Dans une usine, il doit souvent s'exécuter ailleurs, car un automate, une RTU ou un HMI ancien n'a aucun compte utilisateur à vérifier.
Le MFA compte en OT parce qu'un mot de passe seul se réutilise facilement. Le mot de passe VPN d'un prestataire, copié depuis son ordinateur portable, suffit à atteindre un serveur SCADA s'il est le seul contrôle. Avec le MFA, ce mot de passe n'ouvre plus la session : il faut aussi un second facteur, comme une clé matérielle ou un badge, que l'attaquant ne détient pas.
Les réseaux d'usine ne sont plus isolés. Ils sont reliés au réseau bureautique pour le reporting et aux fournisseurs pour la maintenance. Un identifiant volé côté IT peut donc être essayé sur l'OT, et le contrôle doit se faire sur chaque chemin qui mène à une machine.
Le MFA et la segmentation ont deux rôles différents. Le MFA prouve qui est la personne. La segmentation décide ce qu'elle peut atteindre une fois le contrôle passé. Une plateforme de sécurité OT a besoin des deux : un second facteur sur chaque session, et une règle qui limite l'accès à la machine et au protocole nécessaires.
Cinq endroits où exiger le MFA en OT.
Commencez par les chemins qui atteignent les équipements depuis l'extérieur de l'usine, car un identifiant volé peut y servir depuis n'importe où. Passez ensuite aux machines qui permettent de modifier le procédé.
Accès distants des équipes et des prestataires
Toute session distante vers l'usine, qu'elle vienne de vos ingénieurs ou d'un intégrateur. C'est le premier endroit où imposer un second facteur.
Postes d'ingénierie
Les ordinateurs qui hébergent les logiciels de programmation des automates. Une session depuis l'un d'eux peut modifier la logique d'un automate. L'accès à ces postes exige donc une personne identifiée et un second facteur.
HMI et terminaux opérateurs
Les pupitres d'atelier où un même identifiant sert souvent à toute une équipe. Quand un HMI ne peut pas gérer le MFA, un lecteur de badge donne à chaque opérateur un accès nominatif sans ralentir l'équipe.
Serveurs de rebond et bastions
Les serveurs intermédiaires par lesquels passent les sessions vers un réseau de contrôle. Le MFA y est courant. Le problème reste le second saut vers l'équipement, détaillé plus bas.
Comptes à privilèges (PAM pour l'OT)
Les comptes administrateurs des serveurs SCADA, des historians et des contrôleurs de domaine OT. Ils peuvent modifier de nombreuses machines à la fois et demandent un facteur résistant au phishing et une session enregistrée.
Le MFA ne garantit pas la même chose selon son emplacement.
Toute architecture d'accès distant place le MFA quelque part. La vraie question : que prouve le second facteur une fois la session ouverte, et quelle part de l'usine reste accessible ensuite ?
Sur le concentrateur VPN
L'utilisateur prouve son identité une fois, puis reçoit une route. Le second facteur lui donne un point d'entrée sur le réseau. Après la connexion, la session n'est que du trafic IP ordinaire, et l'automate ne peut pas en distinguer les paquets des autres.
Prouve : cette personne a ouvert un tunnel.
Sur le serveur de rebond
L'utilisateur s'authentifie sur un hôte intermédiaire et travaille depuis celui-ci. En cas de compromission, le périmètre touché est plus petit et la session peut être enregistrée. Mais le saut vers l'équipement utilise le plus souvent un compte local partagé, et l'identité s'arrête au serveur de rebond.
Prouve : cette personne a atteint le serveur de rebond.
Devant l'équipement
Un proxy reçoit la session, authentifie la personne auprès de votre annuaire avec un second facteur et n'ouvre l'accès qu'aux machines autorisées. L'identité reste attachée à l'action, et la trace nomme une personne plutôt qu'un compte de service.
Prouve : cette personne a fait cela, sur cette machine, à cette heure.
Le MFA du VPN ne vérifie l'utilisateur qu'une fois.
Un VPN répond à une seule question au moment de la connexion : cet identifiant est-il valide ? Pendant le reste de la session, il répond à une autre question : ce paquet peut-il atteindre ce sous-réseau ? Le MFA améliore la première réponse et ne change rien à la seconde.
C'est ce que décrivent de nombreux rapports d'incident : un portable d'ingénierie avec un certificat valide, un compte de prestataire jamais désactivé, un boîtier fournisseur doté d'une seconde liaison. Dans chaque cas, l'identifiant était authentique. Le problème venait ensuite de ce que cet accès permettait d'atteindre.
En conséquence, le MFA du VPN ne répond pas aux questions d'un auditeur : quelle personne a modifié cette consigne ? Laquelle des quatre personnes qui partagent le compte de maintenance a ouvert cette session ? L'intégrateur présent mardi pouvait-il aussi atteindre le système de sûreté ?
Un serveur de rebond perd encore l'identité de l'utilisateur.
Les deux termes sont souvent employés l'un pour l'autre, et la différence tient surtout à l'exposition. Un bastion est une machine durcie, volontairement exposée à un réseau non fiable. Un serveur de rebond est un intermédiaire par lequel on passe pour atteindre une autre zone de sécurité. Sur la plupart des sites industriels, une seule machine remplit les deux rôles.
C'est un vrai progrès par rapport à une simple route VPN : un seul endroit pour appliquer le MFA, surveiller et corriger. La limite apparaît au second saut. Le serveur de rebond se connecte au HMI avec un compte local, si bien que la piste d'audit s'arrête là et que l'équipement voit une connexion qu'il ne peut attribuer à personne.
| Route VPN | Serveur de rebond | Proxy devant l'équipement | |
|---|---|---|---|
| MFA possible | Oui, à la connexion | Oui, sur l'hôte | Oui, à chaque accès |
| Portée après authentification | Tout le sous-réseau | Tout ce que l'hôte peut atteindre | Les machines et protocoles autorisés |
| Identité au niveau de l'équipement | Aucune | Compte local partagé | La personne identifiée |
| Trace de ce qui a été fait | Journaux de connexion | Journaux de l'hôte, s'ils sont activés | Enregistrement des sessions |
| Révoquer l'accès d'un prestataire | Désactiver le compte | Désactiver le compte | Désactiver le compte et couper les connexions en cours |
| Équipements incapables de s'authentifier | Sans objet | Non | Oui, le proxy authentifie à leur place |
Quatre types de machines qui ne savent pas s'authentifier.
Le MFA suppose un équipement capable de demander un second facteur à l'utilisateur. Une grande partie d'un parc industriel en est incapable, et aucune mise à jour de firmware ne le permettra. Le problème prend quatre formes, avec la même réponse : déplacer le contrôle de l'équipement vers le chemin d'accès. Un proxy d'authentification se place devant l'équipement et le laisse inchangé.
L'automate sans notion d'utilisateur
Un automate parle un protocole et n'a aucun identifiant de connexion. Modbus et S7 exécutent ce qui arrive sur le port, quel que soit l'expéditeur. Aucun compte ne peut porter un second facteur, donc l'authentification doit avoir lieu avant que le paquet ne soit autorisé.
Le HMI sur un OS qui n'est plus maintenu
Un pupitre sous Windows XP ou 7 ne peut pas recevoir un authentificateur moderne, et le contrat du fournisseur interdit souvent d'y toucher. L'écran est en outre fréquemment partagé par une équipe : même un mot de passe identifie alors un rôle plutôt qu'une personne.
Le compte de service
Les historians, les services de scrutation SCADA et les tâches d'intégration s'authentifient en continu, sans personne pour présenter un jeton. Le contrôle consiste à lier le compte à une source, une destination et un protocole, et à alerter sur tout autre usage.
La cellule isolée (air gap)
Un réseau sans route vers l'extérieur ne peut joindre ni un fournisseur d'identité cloud ni un service de notification. Le MFA doit y fonctionner localement : jeton matériel, badge ou code à usage unique hors ligne, validé à l'intérieur du périmètre.
L'atelier écarte la plupart des méthodes bureautiques.
L'environnement détermine la bonne méthode. Les gants, l'absence de téléphone personnel, les terminaux partagés et l'absence de réseau écartent chacun une méthode qui fonctionne très bien en IT.
| Méthode | Résiste au phishing | Avec des gants et des terminaux partagés | Hors ligne | Usage en OT |
|---|---|---|---|---|
| Code SMS | Non | Mauvais, téléphone personnel requis | Non | À éviter. Pas de réseau dans beaucoup de locaux techniques, et c'est le facteur le plus faible. |
| Application TOTP | Non | Mauvais, téléphone personnel requis | Oui | Possible pour des ingénieurs au bureau, peu pratique sur un pupitre. |
| Validation par notification | Non | Mauvais | Non | Pratique, mais sujette aux validations par lassitude, et elle demande une connexion. |
| Jeton matériel, FIDO2 | Oui | Bon, une clé sur un cordon | Oui | Le choix par défaut pour les ingénieurs et les prestataires distants. |
| Badge, identifiant physique | Oui | Excellent, déjà porté par l'opérateur | Oui | Adapté au travail posté et aux terminaux partagés, et cohérent avec le contrôle d'accès du site. |
Deux remarques pratiques. Un facteur résistant au phishing est lié au service auprès duquel il authentifie, ce qui exclut tout ce qu'une personne peut lire à voix haute ou saisir dans la mauvaise fenêtre. Et le facteur que l'opérateur porte déjà pour franchir la porte est celui qui s'impose le plus facilement à une équipe en production.
NIS2 et l'IEC 62443 demandent une authentification forte.
La formulation varie, mais le fond est le même : une authentification forte sur les chemins vers le réseau industriel, et une trace qui relie une action à une personne. Pour un audit, avoir du MFA ne suffit pas : il faut pouvoir montrer qui a fait quoi.
NIS2, article 21, paragraphe 2, point j
La directive demande des solutions d'authentification à plusieurs facteurs ou d'authentification continue, selon les besoins. Le point i y ajoute le contrôle d'accès, et le point d la sécurité des relations avec les prestataires. Voir notre solution de conformité NIS2 pour réseaux OT et SCADA.
France : ReCyF de l'ANSSI et projet de loi Résilience
Au 5 novembre 2026, la loi de transposition n'est pas promulguée, et son examen à l'Assemblée nationale est inscrit à l'ordre du jour à partir du 9 novembre. L'ANSSI a publié le ReCyF en mars 2026 : 15 objectifs de sécurité pour les entités importantes et 20 pour les entités essentielles. Voir la conformité NIS2 dans l'industrie.
IEC 62443
L'exigence fondamentale 1 couvre l'identification et l'authentification, pour les utilisateurs humains (SR 1.1) comme pour les processus logiciels et les équipements (SR 1.2). Le modèle zones et conduits permet d'appliquer le contrôle à la frontière d'une zone quand le composant ne peut pas le faire.
Recommandations de l'ANSSI
L'ANSSI a publié les « Recommandations relatives à l'authentification multifacteur et aux mots de passe », les « Recommandations relatives à l'administration sécurisée des systèmes d'information » et « La cybersécurité des systèmes industriels ». Ils sont une bonne base pour choisir les facteurs et organiser les accès d'administration.
Déployez le MFA en trois étapes.
Listez les chemins d'accès
Recensez chaque accès : le VPN, le serveur de rebond, le routeur 4G du fournisseur dans l'armoire, le modem que personne n'a retiré. Les deux derniers manquent souvent au schéma réseau. Classez les chemins et commencez par les accès distants.
Résultat
Un inventaire des chemins d'accès et du compte utilisé par chacun.
Placez un point de contrôle devant les équipements
Un proxy branché à côté du réseau existant devient le chemin vers les machines. Il authentifie la personne auprès de votre annuaire, applique le second facteur et limite l'accès aux machines autorisées. Rien n'est installé sur l'automate et le firmware ne change pas.
Résultat
Des sessions nominatives avec second facteur, sur des équipements qui n'en géraient aucun.
Fermez les chemins remplacés
C'est l'étape que beaucoup de projets oublient. Si la route VPN atteint encore la cellule une fois le proxy en service, le nouveau contrôle peut être contourné. Fermez l'ancien chemin pour pouvoir répondre à l'auditeur.
Résultat
Un seul chemin authentifié, et la preuve qu'il n'y en a qu'un.
Questions fréquentes sur le MFA en OT.
Placez le MFA devant l'équipement, sans le modifier. Cinq architectures existent : une passerelle ZTNA ou un VPN industriel pour les accès distants, un bastion PAM pour les sessions d'administration, un micro-pare-feu avec portail captif devant une cellule, un agent MFA sur les postes qui l'acceptent, et une DMZ in a box comme Access Gate, qui réunit le proxy, le bastion et le filtrage dans une appliance par site. Dans tous les cas, fermez ensuite les chemins directs vers la machine.
C'est une DMZ industrielle réunie dans une seule appliance par site. Access Gate se branche à côté du réseau existant et assure le filtrage entre zones, le proxy d'authentification et le bastion pour les sessions distantes. Une règle sur le routeur existant dirige le trafic des machines vers lui. Rien n'est installé sur les machines, et supprimer la règle permet de revenir en arrière.
Prévoyez un accès de secours (« Break-Glass ») pour que les opérateurs gardent la main en cas de panne. Avec Access Gate, branché à côté du réseau, le réseau continue de fonctionner si l'appliance est hors ligne, et les pupitres locaux restent utilisables. Un fournisseur d'identité installé sur site n'a besoin que du réseau local. Une coupure d'Internet n'empêche donc pas l'authentification.
C'est le contrôle qui prouve l'identité d'une personne avant l'ouverture d'une session vers une machine industrielle. En OT, il ne peut souvent pas s'exécuter sur la machine, car les automates, les RTU et les HMI anciens n'ont pas de comptes utilisateurs. Il s'exécute donc sur le chemin d'accès : sur la passerelle d'accès distant, sur le serveur de rebond ou sur un proxy placé devant l'équipement.
Par les accès distants, ceux des équipes comme ceux des prestataires, car un identifiant volé peut y servir depuis n'importe où. Passez ensuite aux serveurs de rebond, aux postes d'ingénierie et aux comptes à privilèges des serveurs SCADA et des historians. Les HMI partagés de l'atelier viennent après, souvent avec un badge. Les automates incapables de s'authentifier sont couverts par un proxy placé devant eux.
L'article 21, paragraphe 2, point j, de NIS2 demande des solutions d'authentification à plusieurs facteurs ou d'authentification continue, selon les besoins, et ne distingue pas l'IT de l'OT. En France, la loi de transposition n'est pas promulguée au 5 novembre 2026. Le ReCyF de l'ANSSI permet déjà de préparer la mise en conformité. Pour un équipement qui ne gère pas le MFA, le contrôle se place devant lui.
Ils répondent à deux questions. Le MFA prouve qui est la personne. La segmentation limite ce qu'elle peut atteindre après le contrôle. Seul, le MFA sur un VPN donne encore accès à tout un sous-réseau. Combinés, ils limitent chaque session aux machines et protocoles autorisés, et un identifiant volé ne permet plus de se déplacer dans l'usine.
Non. Il authentifie la connexion, puis donne une route réseau. Ensuite, la session est du trafic ordinaire, et l'équipement ne sait pas qui se trouve de l'autre côté. Ce contrôle reste utile en périphérie, mais il ne suffit pas pour les machines. Pour le vérifier, demandez quelle personne a modifié une consigne mardi dernier : les journaux VPN enregistrent un tunnel et ne répondent pas à cette question.
Elle tient surtout à l'exposition. Un bastion est une machine durcie, volontairement placée là où un réseau non fiable peut l'atteindre. Un serveur de rebond est un intermédiaire utilisé pour atteindre une autre zone de sécurité. La plupart des sites industriels utilisent une seule machine pour les deux rôles. En pratique, tout se joue au second saut : si le serveur se connecte au HMI avec un compte local partagé, l'identité s'arrête là.
Le MFA ne s'applique pas à l'automate, mais au chemin qui y mène. Un proxy placé devant l'équipement authentifie la personne auprès de votre annuaire et applique le second facteur. Il autorise ensuite la connexion vers l'automate. L'automate voit une session ordinaire venant d'une source autorisée, sa configuration ne change pas, et la piste d'audit nomme la personne plutôt qu'un compte partagé.
Pas au sens habituel, car aucune personne n'est présente pour fournir un second facteur. Le contrôle équivalent consiste à restreindre le compte : le lier à une adresse source, une destination et un protocole, lui donner les droits les plus limités possible, renouveler son identifiant à intervalles réguliers et alerter s'il est utilisé ailleurs.
Le plus souvent, un jeton matériel ou un badge. Le SMS demande un réseau mobile souvent absent des locaux techniques. Une application TOTP et une validation par notification supposent un téléphone personnel, souvent interdit dans l'atelier et peu pratique avec des gants. Une clé FIDO2 sur un cordon, ou le badge que l'opérateur porte déjà, fonctionne avec des gants, hors ligne et sur un terminal partagé.
Il doit fonctionner sans sortir du périmètre, ce qui exclut les fournisseurs d'identité cloud et les notifications. Les méthodes possibles sont un jeton matériel, un badge ou un code à usage unique hors ligne, validé par un service installé dans la zone isolée. Le TOTP d'Access Gate fonctionne hors ligne. Ces réseaux ont quand même besoin d'authentification : l'air gap bloque le routage, mais pas un ingénieur avec un portable et un câble de maintenance.
En principe, non. Le MFA se place sur les chemins qui atteignent les équipements à distance, et non entre un opérateur et le pupitre devant lui pendant un incident de procédé. La conduite locale ne change pas. Si un accès de secours est nécessaire, il doit reposer sur un compte nominatif avec second facteur et journalisation renforcée. L'intervention reste ainsi attribuable à une personne.
Trois éléments. D'abord, un second facteur imposé sur chaque chemin vers le réseau industriel, ce qui suppose un inventaire complet des chemins. Ensuite, un facteur adapté, avec des méthodes résistantes au phishing pour les accès à privilèges. Enfin, des sessions attribuables : une trace qui indique quelle personne a atteint quel équipement, quand, et ce qu'elle a fait. Un journal VPN ne fournit pas ce dernier élément.