Pour atténuer ces problèmes de sécurité, les réseaux optiques peuvent utiliser des techniques telles que le chiffrement, l'authentification et le contrôle d'accès. Les mesures de sécurité physique, telles que les caméras de surveillance, les alarmes et l'accès restreint aux équipements, les outils de mesure de la qualité des liens peuvent également contribuer à la protection contre les attaques physiques.

Nous allons explorer la technique de chiffrement de la couche optique ainsi que les outils de mesure de la qualité des transmissions.

Le chiffrement optique et la confidentialité des données

La technique de chiffrement a pour objectif d’adresser le critère « Confidentialité » des communications de données de l’indice DICT (Disponibilité, Intégrité, Confidentialité, Traçabilité).

Le chiffrement optique est utilisé pour protéger la transmission de données en convertissant les données en texte chiffré.

Les clés de chiffrement sont gérées de manière hautement sécurisée pour garantir que chaque client final est protégé contre toute tentative non autorisée d'extraction de données dans le réseau à fibres optiques.

Certains gestionnaires de clés des liaisons optiques chiffrées du marché fournissent une gestion des clés symétriques centralisée et certifiée par l'ANSSI, offrant une protection immédiate contre les attaques par force brute très sophistiquées, y compris les menaces provenant des ordinateurs quantiques émergents.

Le gestionnaire SMS (Service Management System) est l’orchestrateur et l’élément central qui synchronise et effectue la rotation des clés via l’OUT of Band (canal dédié). Ce dernier fournit une gestion des clés d’une manière symétrique et éphémères afin de réduire les risques d’attaques. Avec l’essor de l’informatique quantique, les méthodes traditionnelles de rotation des clés et de synchronisation ne suffiront plus à protéger la confidentialité des données offrant un niveau de protection contre les nouvelles cyber-attaques que la cryptographie traditionnelle ne couvre pas. L’introduction de Safe quantum qui se base sur la physique quantique (par exemple la rotation des clés en suivant le changement de polarisation ou de phase d’un photon, changement de température ou de vibration de la fibre) permet la détection des menaces au niveau quantique et la réduction du nombre d’attaques en comparaison avec les méthodes de cryptographie tradionnelles. Certains fournisseurs proposent aussi des méthodes hybrides : cryptographie traditionnelle et Safe quantum pour renforcer la protection des données. Le gestionnaire reste l’orchestrateur qui délègue la rotation des clés à la couche quantique et reprend le rôle de générateur de clés si une attaque est identifiée au niveau de la couche quantique.

Quels sont les critères pour bien choisir son gestionnaire de clés ?

Comme requis pour les certifications de sécurité FIPS/ANSSI, ce type de gestionnaire autonome doit permettre la gestion et l’administration du chiffrement sur la couche optique (ex : OTU4, OTU2E) indépendamment de la gestion de réseau classique.

Pour réaliser un service de chiffrement de bout en bout, il est important que cet outil prenne en charge la génération et la rotation critique des clés nécessaires.

Dans un 1er temps, il a pour rôle de générer et envoyer la clé PSK-WKAT (« Well Known Answer Test ») de manière symétrique aux deux équipements de chaque extrémité du service afin de valider le service à chiffrer de bout en bout. Une fois le chemin validé de bout de bout, le gestionnaire va générer et envoyer la clé de chiffrement de type AES-256 de manière symétrique aux deux équipements de chaque extrémité du service. Le transfert des clés est réalisé via l’envoi de traps SNMPv3. Une fois la clé réceptionnée par les deux plate-formes, le gestionnaire donne l’ordre d’effectuer la rotation de la clé. La rotation de clé est programmée par l’administrateur de chiffrement avec une périodicité allant de la semaine à seulement 1 minute. La rotation de clé doit être sans impact trafic.

Si une clé n’est pas réceptionnée par l’un des équipements, le service reste chiffré avec la dernière clé réceptionnée et une alarme doit être remontée vers le gestionnaire.

Les dispositifs utilisés pour le chiffrement optique doivent avoir une faible latence et une vitesse de traitement élevée, pour garantir que le réseau est protégé sans compromettre sa vitesse de transmission. En outre, le chiffrement optique doit être résistant aux attaques basées sur la signature électromagnétique d'un signal.

Sécuriser le réseau sur la base d'approches optiques offre l’avantage d’une faible latence et une vitesse de traitement élevée, permettant de protéger le réseau sans compromettre sa vitesse de transmission.

Outils de détection des intrusions

Grâce aux variations des niveaux de puissance, les outils de mesure de la qualité des transmissions optiques tels que réflectomètre optique à domaine temporel (OTDR), permettent aux opérateurs de réseaux de localiser les incidents mais surtout de détecter et localiser les intrusions sur le réseau.
En identifiant des changements ou défauts qui dégradent la qualité des transmissions, ces outils permettent de détecter des phénomènes physiques tels que des coupures ou même des intrusions sur le réseau et mise en écoute. Cela permet aux équipes de sécurité de pouvoir intervenir le plus vite possible en cas de suspicion d’attaque et en fonction du résultat de l’analyse, de lever le doute ou de réagir à l’incident.
Basé sur deux phénomènes physiques que sont la diffusion de Rayleigh et le coefficient de Fresnel, l’OTDR est capable de détecter l’ensemble des évènements qui apparaissent sur une fibre optique et les localiser. Par exemple, l’introduction d’un connecteur physique sur une fibre peut donner naissance à des attaques en dupliquant le signal lumineux.
En formant une « chaîne blindée », ces outils améliorent la sécurité du réseau tout en conservant la flexibilité nécessaire pour prendre en charge une large gamme d'applications et de services.