Cybersécurité d’une interface homme-machine : limites du matériel IHM en conception OEM

En cybersécurité d’une interface homme-machine, le matériel frontal peut réduire la surface d’attaque, canaliser l’accès aux ports, retarder une ouverture et rendre certaines interventions visibles. Il ne peut pas, à lui seul, authentifier un technicien, autoriser une clé USB, verrouiller JTAG ou SWD dans le microcontrôleur, vérifier un micrologiciel ni sécuriser le réseau industriel. Pour un OEM, la bonne décision consiste donc à spécifier le panneau, le boîtier, les connecteurs et les témoins comme une première barrière, puis à attribuer chaque contrôle restant au contrôleur, au logiciel et à l’exploitant. Les variables décisives sont la menace physique, le besoin de maintenance, l’environnement, la durée de vie et la chaîne de responsabilité.

Décision rapide : ce que le matériel IHM sécurise réellement

La limite est nette.

La cybersécurité d’une interface homme-machine commence par une frontière explicite. Les assemblages IHM peuvent supprimer des accès inutiles et rendre les accès nécessaires plus difficiles à atteindre. Ils ne donnent aucune garantie sur le traitement numérique qui se trouve derrière ces accès.

Décision de conception	Apport réel du matériel frontal	Limite à ne pas franchir	Relais obligatoire
Supprimer un port externe inutilisé	Élimine le point d’insertion accessible depuis la face avant	Ne désactive pas un bus ou des pastilles encore accessibles dans l’appareil	Schéma électronique, configuration du contrôleur, essai de production
Placer le port de service derrière une trappe	Réduit l’accès opportuniste et impose une action visible	Une personne qui ouvre la trappe peut encore dialoguer avec le port	Authentification, droits temporaires, journal d’intervention
Monter un obturateur ou un verrou	Retarde l’accès et matérialise une règle d’exploitation	Ne distingue ni technicien autorisé ni support sain	Gestion des clés, procédure, contrôle logique du port
Ajouter un scellé témoin	Permet une inspection après ouverture si le scellé est unique et contrôlé	N’empêche pas l’ouverture et ne déclenche pas forcément d’alarme	Registre, inspection, capteur et journal si une détection active est requise
Dédier une LED matérielle	Donne un signal visible même si l’écran principal est indisponible	La LED peut afficher un état faux si sa source ou son circuit de commande est compromis	Source d’état protégée, logique indépendante, diagnostic de défaut
Spécifier un joint et un connecteur étanche	Protège l’enveloppe contre les corps solides et l’eau dans les conditions essayées	Un indice IP n’est ni une preuve d’effraction ni une fonction cyber	Essai du montage complet selon la condition d’usage

Le guide Panneau IHM : matériel et intégration OEM décrit la construction. Ici, la question est plus étroite : quelle confiance attribuer à chaque couche ?

La cybersécurité de l’IHM est une chaîne, pas une propriété du panneau

La chaîne décide.

Une IHM industrielle associe une surface opérateur à un système programmable. Décor graphique, vitre, tactile, touches, circuit flexible, écran, connecteurs et boîtier forment la couche physique. Contrôleur, microcontrôleur, chargeur d’amorçage, système d’exploitation et application portent les fonctions numériques. L’automate, le SCADA et l’exploitation déterminent l’effet réel d’une commande.

Le NIST décrit l’OT comme des systèmes programmables qui interagissent avec l’environnement physique sous des contraintes de performance, de fiabilité et de sûreté. L’IEC 62443-4-2:2019 couvre sept familles d’exigences pour les composants IACS, dont authentification, contrôle d’usage, intégrité et disponibilité. Un boîtier ne peut satisfaire seul cet ensemble.

Architecture de confiance à spécifier :

Opérateur / technicien
        │  toucher, voir, brancher, ouvrir
        ▼
Décor — vitre — tactile — touches — LED — trappe — joint
        │  signaux bruts et accès physiques
        ▼
Circuit/flex — connecteurs — commande LED — contrôleur tactile
        │  USB / UART / JTAG / SWD / Ethernet / bus écran
        ▼
MCU / SoC — chargeur d’amorçage — micrologiciel — système d’exploitation
        │  authentification, droits, journal, mise à jour, intégrité
        ▼
Réseau OT — automate — SCADA — supervision — procédures

Chaque flèche est un contrat. Le fabricant du panneau peut livrer une LED et une broche dédiées. L’OEM définit encore l’origine du signal, l’état au démarrage et la réaction à une rupture. Les protocoles de communication IHM et interfaces matérielles doivent être figés avec leurs propriétaires.

Les ports physiques doivent être supprimés, déplacés ou gouvernés selon leur besoin réel

Un port reste une entrée.

Un port en face avant engage tout le cycle de vie : alimentation, export, mise à jour, diagnostic ou retour atelier. Sans besoin, supprimez-le. L’ANSSI recommande en 2025 de désactiver les ports physiques et accès aux supports amovibles inutilisés, ainsi que les fonctions de développement en production.

Cette règle ne signifie pas « cacher tous les ports ». Elle impose quatre décisions distinctes :

Fonction. Une alimentation n’a pas à exposer des lignes de données inutiles. L’ETSI EN 303 645 V3.1.3 cite ce cas pour le micro-USB. Son champ est l’IoT grand public ; le principe reste un patron, pas une conformité industrielle.
Position. Un accès arrière, interne ou sous trappe limite l’exposition, mais doit rester maintenable.
Barrière. Vis outillée, serrure, obturateur ou capot modifient l’effort et la visibilité. Aucun n’authentifie un utilisateur.
État logique. Le contrôleur doit ignorer, restreindre ou authentifier le port hors maintenance. C’est une exigence de micrologiciel et de système.

Besoin	Implantation matérielle recommandée	Contrôle système associé	Mauvaise spécification
Aucun usage après production	Supprimer connecteur et ouverture ; éviter les points de test accessibles	Désactiver le périphérique et vérifier l’état de production	« Port caché sous le décor graphique »
Maintenance sur site rare	Port interne derrière panneau outillé ou trappe contrôlée	Activation temporaire, technicien authentifié, journal	« USB réservé au SAV » sans règle d’activation
Export opérateur régulier	Connecteur frontal robuste, détrompé si possible, avec capot adapté	Liste de médias autorisés, analyse, droits d’écriture/lecture	« Toute clé USB compatible »
Mise à jour atelier	Connecteur accessible seulement dans un poste de maintenance défini	Paquet signé, anti-retour si requis, preuve de version	« Mise à jour par fichier » sans validation cryptographique
Alimentation seule	Connecteur câblé sans lignes de données ou interface dédiée	Protection électrique et détection d’anomalie selon besoin	USB complet alors que seules VBUS/GND sont utiles

Un connecteur renforcé traite l’environnement, pas l’autorisation. Pour USB3CFTV, Amphenol Socapex publie IP68 accouplé et non accouplé, 500 cycles et −40 °C à +85 °C. Ces valeurs restent propres au composant. Elles montrent ce qu’un RFQ doit préciser : capot, accouplement, câble, montage, température et cycles.

Un bouchon USB réduit l’accès ; il ne sécurise pas un support amovible

Le bouchon n’autorise rien.

La politique de support amovible appartient au système et à l’exploitation. Le matériel peut rendre le branchement impossible sans outil, réserver le port à une zone interne, différencier visuellement les connecteurs ou accueillir un dispositif de verrouillage. Il ne peut pas déterminer si le contenu d’une clé est légitime.

Le NIST SP 800-82 Rev.3 classe les clés USB et cartes SD parmi les médias OT et recommande d’interdire les supports ou dispositifs non autorisés sur les nœuds OT. L’ANSSI, dans ses recommandations pour les systèmes d’information essentiels, combine plusieurs mesures : supports dédiés et inventoriés, identification physique, désactivation logique, bouchage des ports et traçabilité. Le message d’ingénierie est net : l’obturateur est une couche, pas la politique.

La maintenance change le risque.

Écrivez le chemin de défaillance. Un technicien ouvre le capot, insère un média non analysé, l’IHM le monte, accepte un paquet non signé et ne conserve aucune trace. Le verrou ne traite que la première étape. Supprimer le port peut, à l’inverse, bloquer une récupération ; le mode dégradé et le retour atelier doivent être prévus.

JTAG, SWD et UART exigent un état de production vérifiable

Le silicium tranche.

Les interfaces de débogage sont plus critiques qu’un connecteur utilisateur, car elles peuvent donner accès au processeur, à la mémoire ou au chargeur d’amorçage. Les cacher derrière le boîtier réduit l’accès opportuniste. Les laisser actives conserve la capacité technique.

Dans son champ IoT grand public, l’ETSI EN 303 645 V3.1.3 demande de désactiver ou protéger le debug et de protéger physiquement un port restant. Le couple logique/physique fournit un patron de conception. Il ne prouve pas une conformité IHM industrielle.

Le mécanisme dépend du silicium. Pour certains STM32, STMicroelectronics documente une authentification par mot de passe ou certificat liée à l’état produit ; une réouverture par certificat peut être temporaire. Ne généralisez pas. L’OEM doit demander :

quel état de production est programmé et comment il est relu en fin de ligne ;
si les pastilles JTAG, SWD ou UART restent électriquement exploitables ;
quelle procédure autorise un diagnostic de retour atelier ;
si une régression efface des données et comment cette conséquence est validée ;
quelle preuve de configuration accompagne le numéro de série.

Le fabricant du panneau peut protéger les points de test. Il ne peut promettre la fermeture du debug sans preuve du contrôleur et de la programmation usine.

La preuve doit survivre.

Preuve d’effraction, résistance et indice IP répondent à trois questions différentes

Ces propriétés divergent.

Une preuve d’effraction révèle une modification. Une mesure résistante la rend plus difficile ou coûteuse. Le NIST distingue ces intentions pour les données ; l’analogie appliquée au boîtier écarte le mot trompeur « inviolable ».

Propriété	Question traitée	Exemples matériels	Preuve attendue	Ce qu’elle ne prouve pas
Dissuasion	L’accès paraît-il contrôlé ?	Marquage, vis non standard, trappe scellée	Revue de conception et instruction	Résistance mesurée ou détection
Résistance	Combien d’effort, de temps et d’outillage l’accès demande-t-il ?	Capot métallique, serrure, fixation interne	Méthode d’essai liée à un scénario de menace	Identité de la personne et intégrité du micrologiciel
Preuve d’effraction	Une inspection peut-elle révéler l’ouverture ?	Étiquette destructible, vernis témoin, fil plombé	Critères visuels, identifiant, photos de référence	Blocage de l’ouverture ou alarme temps réel
Détection active	Le système signale-t-il l’ouverture ?	Microswitch, boucle conductrice, capteur	Essai électrique, journal et comportement hors tension	Impossibilité de neutraliser le capteur
Protection IP	L’enveloppe protège-t-elle contre solides/eau dans l’essai défini ?	Joint, collage, capot de connecteur	Rapport selon IEC 60529 sur montage représentatif	Cybersécurité, résistance à l’outil ou preuve d’accès

L’IEC 60529 classe la protection d’une enveloppe contre l’accès, les corps solides et l’eau. Le code IP ne qualifie ni authentification, ni debug, ni média, ni résistance malveillante. Une vis de sécurité peut compliquer la maintenance sans améliorer l’étanchéité.

Le montage complet compte.

Les compromis sont tangibles. Un scellé sur une trappe entretenue impose remplacement et inspection. Un port interne oblige parfois à ouvrir l’enveloppe et fatigue le joint. Un collage permanent gêne la réparation. La Conception IHM industrielle : checklist en 10 jalons rattache ces choix au cycle de développement.

Un indicateur n’est fiable que si sa chaîne de commande l’est

La source commande la confiance.

Une LED séparée de l’écran principal est utile pour signaler alimentation, défaut, mode maintenance ou état de communication. Elle devient un indicateur de confiance seulement si l’architecture définit la source du signal et protège son chemin contre les erreurs ou manipulations visées.

NISTIR 8259A sépare accès logique, protection des données, mise à jour, intégrité et connaissance de l’état cyber. Une icône n’est donc pas une preuve par nature. L’application compromise qui pilote l’écran peut aussi piloter l’icône.

Pour un témoin critique, définissez source, polarité, démarrage, perte de communication, diagnostic et indépendance de l’application. Une sortie automate raccourcit la chaîne ; son programme reste dans la sécurité système. Sans états interdits définis, une LED bicolore ajoute de l’ambiguïté.

« Machine sûre », « commande acceptée », « session authentifiée » et « maintenance active » sont quatre états. Ils ne sont pas interchangeables. Sûreté fonctionnelle, cybersécurité et ergonomie peuvent partager un voyant seulement avec une logique de défaut commune.

Les normes et règlements cadrent le produit final, pas une façade isolée

Le produit final porte la conformité.

Les Normes IHM industrielles et conformité du matériel doivent être sélectionnées d’après le produit, le marché et l’usage. Pour la cybersécurité, IEC 62443-4-2:2019 vise les exigences techniques des composants IACS ; elle ne transforme pas un décor graphique ou une trappe en composant cyber certifié par association.

Dans son champ, le règlement (UE) 2024/2847 sur la cyberrésilience exige de limiter les surfaces d’attaque, interfaces externes comprises. L’application générale commence le 11 décembre 2027, avec certaines dispositions plus tôt. Le fabricant final qualifie champ, exclusions, rôle économique et conformité.

Le règlement (UE) 2023/1230 cible aussi certains composants transmettant des signaux ou données vers un logiciel essentiel aux exigences de santé et de sécurité. Ils doivent être protégés contre la corruption ; lorsque pertinent, la machine collecte une preuve d’intervention. Boucle d’ouverture ou scellé peuvent y contribuer. La conformité reste celle de la machine.

La validation doit provoquer le chemin de défaillance, pas seulement inspecter le plan

Le plan ne prouve rien.

Une revue CAO confirme dimensions, accès et empilage. Elle ne démontre pas qu’un contrôle résiste au scénario retenu. La planification des essais et de la validation doit partir d’une menace, d’un état du produit et d’un résultat observable.

Menace / erreur	Mesure matérielle candidate	Essai représentatif	Preuve de réussite	Propriétaire du solde
Branchement opportuniste sur USB	Port interne ou capot verrouillé	Tentative avec l’outillage et le temps définis, produit installé	Accès impossible ou trace visible selon critère	Exploitant pour clés ; micrologiciel pour autorisation
Média non autorisé	Détrompage ou accès sous contrôle	Insérer médias autorisé/non autorisé dans chaque état	Le matériel guide l’usage ; le système refuse et journalise l’indésirable	Micrologiciel, système d’exploitation et procédure média
Accès à JTAG/SWD/UART	Points non exposés, écran interne, trappe outillée	Inspection, continuité, tentative de connexion en état production	État de production relu ; aucune session non autorisée	Électronique, micrologiciel, programmation usine
Ouverture du boîtier	Scellé, boucle ou microswitch	Ouverture, remise en place, coupure secteur, perte de liaison	Marque irréversible ou événement conservé selon exigence	Système pour journal/alarme ; qualité pour inspection
Fausse indication	LED dédiée, chemin séparé	Injection de perte de signal, démarrage incomplet, défaut du circuit de commande	État sûr et non ambigu ; diagnostic conforme au plan	Architecture système / sûreté / micrologiciel
Perte d’étanchéité après maintenance	Joint captif, capot et couple définis	Cycles d’ouverture prévus puis essai d’enveloppe complet	Critère IEC 60529 demandé sur configuration représentative	Mécanique, qualité, laboratoire

Les échantillons doivent inclure connecteurs, joints, couples, adhésifs, câbles et fixations de série. Une impression 3D valide l’accès, pas forcément rigidité, usure ou étanchéité. Le prototypage et validation des échantillons ferme les risques par étapes : géométrie, assemblage, configuration proche série, essai représentatif.

Le test doit trancher.

Quand une barrière matérielle n’est pas la bonne réponse

Parfois, il faut renoncer.

Une façade renforcée échoue face à un accès prolongé, un debug actif, une mise à jour non authentifiée ou l’absence de journal. Elle devient contre-productive si son ouverture dépasse le temps de rétablissement, use le joint ou bloque une récupération sûre.

N’épaississez pas simplement le capot. Déplacez la fonction, rendez le module remplaçable, activez temporairement l’accès ou authentifiez les mises à jour. PLC/SCADA, comptes, certificats, démarrage sécurisé, chiffrement et segmentation restent hors fabrication IHM.

Checklist de plan et de RFQ pour une IHM OEM

Une exigence doit être testable.

Avant de figer le plan, fournir des entrées vérifiables. Cette liste évite les mentions vagues telles que « port sécurisé » ou « boîtier anti-vandale ».

dessin de face avant, découpe, empilage, zones d’accès et enveloppe complète ;
dimensions et technologie de l’écran/tactile, décor graphique, circuit, PCB/flex et connecteurs ;
inventaire de chaque interface : fonction, utilisateur, fréquence, état autorisé et propriétaire logique ;
besoin de service sur site, en atelier ou uniquement en fabrication ;
menace physique : accès public ou contrôlé, outils, temps, inspection et conséquence ;
choix attendu : suppression, déplacement, verrouillage, scellé, détection active ou combinaison ;
comportement des LED et indicateurs au démarrage, en perte de liaison et en défaut ;
environnement : solides, eau, nettoyage, température, chocs, vibrations et nombre d’ouvertures prévu ;
critères d’essai, montage représentatif, preuve à livrer et règle d’acceptation ;
responsable du débogage, des médias, du micrologiciel, des journaux, du réseau et de l’exploitation ;
volume annuel, jalons prototype/série et gestion des modifications.

Les équipes peuvent envoyer les plans pour revue technique avec la taille d’écran, le dessin de face avant, la pile d’interfaces, l’environnement et le volume annuel. La revue doit aboutir à une liste d’exigences attribuées, pas à une promesse générale de « panneau cybersécurisé ».

Questions fréquentes

Le matériel suffit-il pour la cybersécurité d’une interface homme-machine ?

Non. Le panneau peut supprimer ou protéger des accès physiques, retarder une ouverture et porter un capteur ou un témoin. L’authentification, l’intégrité du micrologiciel, les droits, les journaux et la sécurité réseau dépendent du contrôleur et du système. La spécification doit attribuer ces contrôles à des propriétaires distincts.

Faut-il supprimer tout port USB de la face avant ?

Il faut supprimer le port si aucun besoin de cycle de vie ne le justifie. S’il sert à l’export, au diagnostic ou à la mise à jour, il faut définir son utilisateur, son état d’activation, son accessibilité, le média autorisé et la preuve d’usage. Un port interne peut être préférable, mais complique parfois la maintenance.

Un bouchon ou une serrure USB suffit-il pour sécuriser les supports amovibles ?

Non. Le bouchon réduit l’accès opportuniste ; la serrure impose une gestion de clé. Le système doit encore autoriser le support, limiter les fonctions, analyser ou vérifier le contenu et tracer l’opération. L’ANSSI et le NIST recommandent de combiner contrôles physiques, techniques et organisationnels.

Comment traiter JTAG, SWD et UART sur une IHM de série ?

Définir un état de production vérifiable : interface supprimée, désactivée ou protégée par un mécanisme adapté au microcontrôleur. Les points de test restants ne doivent pas être accessibles sans l’action prévue. Le retour atelier exige une procédure distincte, avec autorisation, conséquences sur les données et preuve de reconfiguration.

Quelle différence entre témoin d’effraction et résistance à l’effraction ?

Le témoin rend une ouverture ou une modification détectable lors d’une inspection. La résistance augmente l’effort, le temps ou l’outillage requis. Une étiquette destructible peut fournir une preuve sans empêcher l’accès ; un capot robuste peut retarder l’accès sans laisser une marque fiable. Les deux objectifs doivent être spécifiés séparément.

Un indice IP65 ou IP67 prouve-t-il que l’IHM est protégée contre une manipulation ?

Non. Le code IP traite la protection d’une enveloppe contre l’accès, les corps solides et l’eau dans des conditions d’essai définies. Il ne qualifie ni l’authentification, ni le verrouillage du débogage, ni la preuve d’effraction. Toute revendication IP doit en outre porter sur le montage complet représentatif.

Une LED dédiée est-elle un indicateur de confiance ?

Seulement si sa chaîne de commande est définie et protégée. Il faut connaître la source d’état, la logique, le circuit de commande, le comportement au démarrage et en perte de communication, ainsi que la possibilité de diagnostic. Une LED pilotée par la même application compromise que l’écran peut afficher le même état trompeur.

Quelles données faut-il transmettre au fabricant d’un assemblage IHM ?

Transmettre la taille d’écran, le plan frontal, l’empilage, les interfaces et leurs usages, l’environnement, le scénario d’accès physique, les critères d’essai et le volume annuel. Ajouter le partage de responsabilités pour le débogage, les médias, le micrologiciel et les journaux afin que le fabricant ne déduise pas des exigences système depuis un dessin mécanique.

Préparer la revue d’ingénierie

Une revue utile commence par cinq éléments : taille d’écran, plan de face avant, pile d’interfaces, environnement et volume annuel. JASPER peut examiner le décor graphique, l’écran/tactile, le circuit, les connecteurs, les joints et l’intégration au boîtier ; la programmation PLC/SCADA et la politique de sécurité système restent sous la responsabilité de l’OEM et de l’intégrateur. Pour chiffrer un périmètre défini, demander un devis technique avec les critères de validation attendus.

Divulgation : ce guide est publié par JASPER, fournisseur d’assemblages IHM. Les principes de séparation entre matériel frontal et sécurité système s’appliquent à une IHM de tout fabricant ; aucune certification ni performance propre à JASPER n’est revendiquée ici.

Références

ANSSI — La cybersécurité des systèmes industriels : mesures détaillées, version 2, 2025.
ANSSI — Recommandations pour la protection des systèmes d’information essentiels, 2020.
NIST SP 800-82 Rev.3 — Guide to Operational Technology Security, septembre 2023.
IEC 62443-4-2:2019 — Technical security requirements for IACS components, édition 1.0.
ETSI EN 303 645 V3.1.3 — Cyber Security for Consumer Internet of Things, septembre 2024.
NISTIR 8259A — IoT Device Cybersecurity Capability Core Baseline, mai 2020.
Règlement (UE) 2024/2847 sur la cyberrésilience, 23 octobre 2024.
Règlement (UE) 2023/1230 sur les machines, annexe III, point 1.1.9.
IEC 60529 — Degrés de protection procurés par les enveloppes, version consolidée 2.2.
STMicroelectronics — Debug Authentication, documentation microcontrôleur.
NIST CSRC — définitions « Tamper evident » et « Tamper resistant », source terminologique NISTIR 8202.
Amphenol Socapex — USB3CFTV, données propres au composant.

Revue technique

Transmettez le plan, l’empilement et les conditions d’usage

L’équipe d’ingénierie JASPER examinera les interfaces, les risques ouverts et les preuves nécessaires au chiffrage.