Ce que le Cube entend
Radio en atelier : ce qu'on peut savoir, ce qu'on ne peut pas, et comment détecter qu'on nous ment Un atelier industriel est un endroit bruyant. Pas seulement pour les oreilles : entre les téléphones des intervenants, les capteurs sans fil, les télécommandes de pont roulant, les traceurs oubliés dans une caisse à outils et les modems des machines récentes, un local de production émet en permanence sur une douzaine de bandes de fréquences. Cet article explique ce que notre matériel écoute, comment il distingue une présence d'une intoxication, et où sont les limites. Il est technique, mais chaque terme est expliqué au passage : aucune connaissance en radio n'est nécessaire pour le lire. Trois questions différentes, souvent confondues Avant les protocoles, une distinction qui structure tout le reste. « Faire de la détection radio » recouvre trois besoins qui n'ont ni les mêmes moyens ni les mêmes limites. La question Ce qu'il faut La difficulté principale Ce badge est-il ici, maintenant ? Écouter une balise connue et suivre sa présence Distinguer une vraie proximité d'un signal relayé Qu'est-ce qui émet dans cette pièce ? Inventorier tout ce qui passe, connu ou non Les adresses changent en permanence, et le RGPD s'applique Est-ce qu'on essaie de m'aveugler ? Mesurer l'état du spectre lui-même Un brouillage réussi ressemble beaucoup à une panne Notre système répond à la première en continu, à la deuxième en option, et à la troisième par construction — parce que c'est celle qui protège les deux autres. Niveau 1 : le BLE, le plus simple et le plus trompeur Ce qu'un appareil Bluetooth raconte sans qu'on lui demande Le Bluetooth Low Energy fonctionne par annonces : un appareil qui souhaite être découvert émet, toutes les quelques centaines de millisecondes, un petit paquet contenant son adresse, parfois un nom, parfois des données de service. Ces paquets circulent en clair sur trois canaux dédiés que n'importe quel récepteur peut écouter sans se connecter à quoi que ce soit. C'est ce qui rend la détection facile. Notre Cube en mode écoute voit passer les montres connectées, les écouteurs, les traceurs d'objets, les capteurs de température, les téléphones en mode découverte et surtout, c'est le point qui nous intéresse, les badges que nous avons enrôlés. À chaque paquet reçu s'ajoute une mesure : le RSSI , la force du signal reçu. C'est un indicateur en décibels qui décroît quand on s'éloigne. C'est ce qui donne l'illusion d'une mesure de distance, et nous verrons plus bas pourquoi c'en est une mauvaise. Un système de détection naïf compte les adresses et croit compter les appareils. Il se trompe massivement, parce que les appareils modernes changent d'adresse en permanence. Le mécanisme s'appelle RPA — Resolvable Private Address , adresse privée résoluble. Un téléphone ou une montre tire une nouvelle adresse toutes les quinze minutes environ. Pour un observateur extérieur, il devient un appareil différent quatre fois par heure. Un tableau de bord qui affiche « 47 appareils détectés ce matin » dans un atelier qui a vu passer six personnes ne ment pas volontairement : il compte des adresses. Donc forcément, c'est pas comme ça qu'il faut faire. Mais ce mécanisme a une propriété que l'on peut exploiter, et c'est elle qui fait toute la différence entre un appareil enrôlé et un inconnu. Chaque adresse privée est calculée à partir d'une clé, l' IRK ( Identity Resolving Key ), échangée une seule fois lors de l'appairage. Qui possède l'IRK peut vérifier qu'une adresse apparemment aléatoire appartient bien à l'appareil qu'il connaît. Qui ne la possède pas ne voit qu'une suite de nombres sans lien entre eux. Concrètement : nos badges enrôlés restent suivis en continu malgré leurs changements d'adresse, et les appareils que nous ne connaissons pas restent, par construction, non pistables. Ce n'est pas une politique de confidentialité que nous avons écrite : c'est une propriété du protocole, et nous la considérons comme un avantage plutôt qu'un obstacle. On peut l'étendre à d'autres appareils si on veut aussi faire de la logistique avec le Cube : suivre du matériel mobile et vérifier ce qui est sorti et ce qui est disponible. Ou mieux s'organiser avant de partir sur un chantier en ayant oublié juste la petite malette mise à recharger la veille au soir (on l'a tous vécu). Entrées et sorties : le piège du seuil unique Décider qu'un badge « est entré » quand son RSSI dépasse une valeur, et « est sorti » quand il repasse en dessous, produit un système inutilisable. Le RSSI fluctue de dix à vingt décibels quand quelqu'un se retourne, passe derrière une machine ou pose son badge sur un établi métallique. Un seuil unique génère des dizaines d'entrées-sorties par heure pour une personne assise. Trois mécanismes classiques corrigent cela, et ils valent pour n'importe quel système de ce type : L'hystérésis. Deux seuils au lieu d'un : on entre à −65 dBm, on ne sort qu'en dessous de −80 dBm. La zone grise entre les deux ne produit aucun événement. La fenêtre de persistance. Un badge n'est déclaré absent qu'après plusieurs cycles d'annonce manqués consécutifs, pas au premier paquet perdu. Une salve d'interférences ne coupe donc pas un accès en cours. Le lissage temporel. On travaille sur une moyenne glissante des dernières mesures, jamais sur la valeur instantanée. Le réglage de ces trois paramètres est propre à chaque local, car un atelier d'usinage avec des machines en fonte n'a pas la même signature qu'un laboratoire d'électronique. C'est précisément ce que le mode Observation mesure avant que quoi que ce soit ne soit armé. Niveau 2 : le Wi-Fi, le plus riche et le plus réglementé Ce qu'on voit sans se connecter Un module Wi-Fi placée en mode moniteur — un mode d'écoute passive où elle capte tout ce qui passe sur un canal sans rejoindre aucun réseau — voit une catégorie de trames que le chiffrement ne protège pas : les trames de gestion . Balises des points d'accès, requêtes de découverte des terminaux, demandes d'association, demandes de déconnexion. Même sur un réseau en WPA3, ces trames circulent en clair, parce qu'elles servent justement à négocier la connexion. Cela suffit pour repérer trois choses utiles : Un point d'accès non autorisé. Un boîtier 4G branché dans une armoire, un téléphone en partage de connexion posé sur une baie. Le géant du secteur Bastille rapporte un cas documenté dans un centre de données : un smartphone configuré en point d'accès, associé à un dongle raccordé à une baie serveur, avait ouvert un chemin de données passant par la liaison cellulaire du téléphone, contournant intégralement pare-feu, DLP et SIEM. Aucun outillage sophistiqué n'était nécessaire pour l'attaque, mais non plus pour la défense ! Une attaque de déconnexion. L'envoi massif de trames de déconnexion forcée est l'attaque Wi-Fi la plus répandue, et elle est triviale à détecter : un volume anormal de ces trames en provenance d'une même adresse. À noter qu'elle échoue contre les réseaux qui activent la protection des trames de gestion (norme 802.11w), ce que fait WPA3 — encore faut-il que le parc le supporte. Un jumeau maléfique. Un point d'accès qui annonce le nom d'un réseau légitime depuis un emplacement où il n'a rien à faire, ou avec une adresse matérielle qui ne correspond pas à l'équipement déclaré. La même limite qu'en BLE, en pire Depuis iOS 14 et Android 10, les terminaux utilisent une adresse matérielle aléatoire différente pour chaque réseau, et randomisent aussi leurs requêtes de découverte. Compter des adresses Wi-Fi pour compter des personnes est encore moins fiable qu'en Bluetooth. Et surtout : écouter le Wi-Fi ambiant, c'est collecter des données personnelles. Nous y revenons plus bas, parce que c'est le chapitre que la plupart des articles techniques sur ce sujet omettent. Niveau 3 : le satellite SDR, pour tout le reste Ce qu'est une radio logicielle Une SDR — software-defined radio , radio définie par logiciel — est un récepteur qui ne sait rien faire tout seul. Il numérise une tranche de spectre brute et laisse un ordinateur décider comment l'interpréter. Le même matériel écoute donc une télécommande de portail, un capteur de température, un badge sans contact ou un modem, selon le programme qu'on lui donne. C'est ce qui permet d'envisager un effecteur dédié à l'écoute : une carte SDR dans un boitier étanche avec micro-ordinateur avec l'antenne adaptée à la bande visée. Encore faut-il couvrir la bande la plus intéressante en milieu industriel, les 2,4 GHz où vivent le Wi-Fi, le Bluetooth et Zigbee. Une écoute large spectre sérieuse suppose au minimum deux radios : une pour le sub-GHz, une pour les 2,4 GHz. Ce qu'on y trouve Sur la bande sub-GHz, l'outil de référence est rtl_433 , un décodeur libre qui reconnaît plus d'un millier de protocoles de capteurs et de télécommandes du commerce, sur 315, 433, 868 et 915 MHz. Ce qu'il révèle dans un atelier est souvent une surprise : sondes de température installées par un prestataire et oubliées, télécommandes de pont roulant, capteurs de porte, stations météo, et de temps en temps un équipement qui ne figure sur aucun inventaire. C'est là que la détection radio rejoint la conformité. Un parc dont on ne connaît pas les émetteurs est un parc dont l'inventaire des actifs est incomplet — et l'inventaire des actifs est une exigence explicite de NIS 2. Détecter qu'on nous aveugle Ce qu'est un brouillage Trois familles, de la plus grossière à la plus fine : Le bruit large bande. On émet de la puissance sur toute la bande, en continu. Simple, efficace, et parfaitement visible. Le brouillage réactif. L'émetteur écoute et n'émet que lorsqu'il détecte le début d'une trame légitime, juste assez pour la corrompre. Beaucoup plus discret : le plancher de bruit reste normal. Le brouillage protocolaire. On n'émet pas de bruit, on émet des trames valides comme des déconnexions forcées en Wi-Fi, par exemple. Rien d'anormal au niveau radio mais tout est anormal au niveau logique. Les signatures qui trahissent Aucune n'est décisive seule, c'est leur conjonction qui fait un signal. Un plancher de bruit qui monte sans trafic décodable. La signature classique. Beaucoup d'énergie reçue, aucun paquet valide : quelque chose émet qui ne parle pas notre langue. Un taux d'échec de contrôle d'intégrité qui explose. Les paquets arrivent mais leur somme de contrôle échoue : ils sont corrompus en vol. C'est la signature du brouillage réactif, celle que le plancher de bruit ne montre pas. Une occupation de canal anormale. Chaque local a une signature d'occupation propre, apprise pendant la phase d'observation après déploiement du Cube. Un écart marqué par rapport à cette référence est plus parlant qu'un seuil absolu. Et la plus utile de toutes : la disparition simultanée. Nos effecteurs émettent périodiquement. S'ils cessent tous d'être entendus en même temps, l'hypothèse « quatre pannes matérielles à la même seconde » est nettement moins probable que l'hypothèse « quelque chose couvre la bande ». C'est le signal le plus fiable dont nous disposons, et il ne coûte rien : il découle du fait que le système se parle à lui-même en permanence. Ce qu'on en fait Rien de plus qu'un refus, et c'est volontaire. On ne peut pas empêcher un brouillage, mais c'est un signal clair. Un brouillage détecté fait retomber la zone en refus, avec un événement journalisé portant son motif. La contrepartie doit être dite franchement : le système est vulnérable au déni de service. Quelqu'un qui veut arrêter votre production plutôt que d'y entrer y parviendra en couvrant la bande. La réponse à cela n'est pas technique mais organisationnelle : procédure de dérogation (le QR Code à scanner pour réactiver les effecteurs du Cube), mode secours, surveillance de la disponibilité radio. Et accessoirement juridique : en France, la détention et l'usage de brouilleurs radioélectriques sont interdits hors dérogations très encadrées, ce qui ne dissuade pas tout le monde mais change la nature de l'incident. Détecter qu'on nous intoxique Le rejeu et la copie Une annonce BLE circule en clair et se recopie. C'est pourquoi nous ne traitons jamais une annonce comme une preuve d'identité : elle déclenche une conversation avec le Cube, elle n'autorise pas l'accès. L'autorisation vient d'un défi cryptographique auquel seule la clé contenue dans l'élément sécurisé du badge ou du smartphone sait répondre, et qui ne peut être rejoué. C'est la parade fiable, et elle est bien comprise. Le problème suivant l'est moins. Le relais, ou l'attaque qu'aucune signature n'arrête Un attaquant place un premier appareil près du badge légitime resté au vestiaire et un second près de la machine, puis retransmet la conversation entre les deux. Rien n'est falsifié : les messages sont authentiques, les signatures sont valides, le défi cryptographique est correctement résolu. Ce qui est fabriqué, c'est la proximité, et la proximité n'est pas une propriété qui se signe. Aucune couche cryptographique ne voit cette attaque. Seule une mesure physique la contredit. D'où notre préférence pour le smartphone avec une action physique de déverrouillage de son utilisateur, si le matériel est autorisé dans votre contexte. Les mesures physiques qui contredisent un relais La mesure de temps de vol (UWB). La référence et certainement notre prochaine phase de R&D. L'ultra-large bande, normalisée dans IEEE 802.15.4z avec sa séquence d'horodatage brouillée, mesure le temps que met un signal à faire l'aller-retour. Comme la lumière ne se laisse pas accélérer, un relais ajoute forcément du délai. C'est la seule réponse structurelle au problème. Nous ne l'avons pas aujourd'hui, et un écart visible avec le standard Aliro publié par la Connectivity Standards Alliance qui reste un très bon modèle. La cohérence multi-capteurs. Avec plusieurs récepteurs répartis dans un local, un émetteur réel produit un profil de niveaux cohérent avec sa position. Un relais produit souvent une incohérence : un signal très fort vu par un seul capteur, ou un profil qui ne varie pas alors que la personne se déplace. Ce n'est pas une preuve, c'est une invraisemblance et cela peut suffire à refuser l'accès. La radiogoniométrie. Déterminer la direction d'où vient un signal. Le KrakenSDR a rendu cette technique abordable : cinq récepteurs RTL-SDR partagés sur une horloge unique, avec matériel de calibration intégré, exploités par interférométrie corrélative, le tout avec un logiciel d'acquisition et de traitement en open source, tournant sur un Raspberry Pi 4 ou 5. Sa limite pour nous est franche : il monte à 1,766 GHz et ne couvre donc pas les 2,4 GHz du Bluetooth. Pour la direction en BLE, la voie normalisée est le Bluetooth 5.1 avec extension de tonalité constante , qui permet le calcul d'angle d'arrivée à l'aide d'un réseau d'antennes. L'empreinte radio de l'émetteur. Chaque émetteur porte des imperfections de fabrication mesurables (décalages de fréquence, bruit de phase, défauts de modulation) qui forment une signature difficile à imiter. C'est un domaine de recherche actif et prometteur. Nous le suivons avec attention. Le cas Flipper Zero Il est cité dans toutes les conversations sur ce sujet, souvent de travers. Autant poser les faits. Ce qu'il fait. Un émetteur-récepteur CC1101 couvrant les bandes 300–348, 387–464 et 779–928 MHz, avec une portée annoncée d'une cinquantaine de mètres. Sur ces bandes, il lit, enregistre et rejoue des télécommandes à code fixe : portails, barrières, interrupteurs radio, sonnettes. Contre un équipement à code fixe, il est redoutable et il a effectivement banalisé une compétence qui demandait auparavant un vrai savoir-faire. Ce qu'il ne fait pas. Il ne touche pas aux 2,4 GHz : ni Wi-Fi, ni Bluetooth, ni Zigbee. Son étage de puissance interne est faible, au point qu'une tentative de brouillage ne porte qu'à quelques dizaines de centimètres. Le Flipper seul n'est donc pas la menace universelle qu'on décrit. Ce qui change la donne. Les cartes d'extension à trois modules, vendues quelques dizaines d'euros, ajoutent un ESP32 pour le Wi-Fi, un nRF24 pour les 2,4 GHz propriétaires et un CC1101 amplifié à antenne externe. Avec cet ensemble, l'appareil accède aux attaques sur claviers et souris sans fil de la famille MouseJack, aux attaques Wi-Fi, et à un brouillage sub-GHz à bien plus longue portée. La menace n'est pas l'appareil à 170 €, c'est l'appareil plus la carte à 30 €. Comment il se voit. Chacun de ses modules laisse une trace. L'émission sub-GHz est visible d'un effecteur SDR. Le firmware Wi-Fi le plus répandu sur ces cartes produit des trames de déconnexion en volume caractéristique. Le module 2,4 GHz propriétaire émet sur des canaux et avec un format d'adressage distinctifs. Aucun de ces indices n'est une preuve d'intention mais ensemble, dans un atelier où rien de tel n'est censé se trouver, ils constituent une anomalie qui mérite une alerte. Tandis que revoilà le RGPD Écouter les ondes d'un local, c'est traiter des données personnelles. C'est la position constante de la CNIL : l'adresse matérielle d'un téléphone est une donnée à caractère personnel. L'histoire du sujet en France est instructive. En 2015, la CNIL refuse à JCDecaux un dispositif de comptage Wi-Fi sur le parvis de La Défense, au motif que l'anonymisation annoncée n'était pas irréversible, l'opérateur pouvait rejouer le procédé de hachage. En 2018, une société de mesure de fréquentation en magasin est mise en demeure. Entre-temps, la CNIL a précisé les règles applicables. Ce qu'elle demande, en substance Pour un simple comptage agrégé, une anonymisation dans les cinq minutes suivant la collecte ou bien une pseudonymisation immédiate suivie d'une anonymisation ou d'une destruction sous vingt-quatre heures, avec une information des personnes nettement plus complète. Une information visible sur place , sur le modèle de l'affichette de vidéosurveillance, renvoyant vers une information détaillée. Un droit d'opposition praticable . Et une précision qui tranche beaucoup de débats : demander aux gens d'éteindre le Wi-Fi de leur téléphone n'est pas une modalité d'opposition acceptable, puisque cela revient à les priver d'une fonction de leur appareil. Ce que nous en faisons Notre position découle plus de l'architecture que de la vertu. Nous n'avons pas besoin de suivre les inconnus. Le système doit répondre à « le porteur enrôlé est-il présent ? ». Les identifiants que nous conservons sont ceux des badges et téléphones volontairement enrôlés , dont les porteurs sont informés et dont l'IRK nous a été confié explicitement. Pour tout le reste, un compteur agrégé et une détection d'anomalie suffisent. Le mécanisme d'adresse tournante joue en notre faveur. Sans l'IRK, une adresse BLE inconnue n'est pas rattachable d'un cycle sur l'autre. Le non-pistage des tiers est une propriété du protocole, pas une promesse contractuelle. Les journaux nomment des personnes autorisées, pas des passants. Un événement d'anomalie enregistre qu'un émetteur non identifié était présent, avec son horodatage et sa bande — pas une identité de tiers reconstituée. Un dispositif d'écoute large spectre dans un local où travaillent des salariés relève par ailleurs de l'information et de la consultation du CSE. Ce n'est pas un détail de mise en œuvre mais c'est un prérequis de déploiement, et nous préférons le poser avant l'installation qu'après une réclamation. Dans notre carrière, nous avons vu de beaux projets techniques revenir à la feuille de papier pour des problèmes d'accord sur le suivi potentiel (mais non prévu par le projet) des horaires de présence, des lieux de présence voire de délai entre plusieurs positions. Ce que la détection prouve, et ce qu'elle ne prouve pas Mécanisme Ce qui est prouvé Ce qui ne l'est pas Réception d'une annonce BLE Un émetteur portant cet identifiant a émis à portée Que son porteur légitime est là Résolution d'adresse via l'IRK Cet émetteur est bien l'appareil enrôlé Qu'il n'a pas été prêté ou volé RSSI et hystérésis Une proximité radio plausible et durable Une distance réelle — le signal peut être relayé Écoute Wi-Fi en mode moniteur Présence d'un point d'accès ou d'une activité anormale Un inventaire complet des terminaux présents Balayage SDR large spectre Qu'un émetteur a été observé sur cette bande Qu'aucun autre n'a émis pendant qu'on regardait ailleurs Détection de brouillage Que la bande est devenue inexploitable Qui brouille, ni depuis où Cohérence multi-capteurs Une invraisemblance géométrique Un relais, de façon certaine, seul le temps de vol le fait Si l'on devait résumer la ligne éditoriale de ce tableau en une phrase : la détection radio corrobore une décision, elle ne la fonde jamais. Notre quatrain d'or pour Trust-Buster tient sur la détection, l'identification, la validation et l'action (DIVA), et seules les deux trois reposent sur de la cryptographie. La première est un filtre qui réduit la surface, et nous ne l'écrivons jamais autrement. Où se situe ce que nous faisons Le marché de la détection radio se lit sur trois étages, et il est utile de dire lequel est le nôtre. En haut, la surveillance d'espace. Bastille Networks en est la référence : couverture continue de la dizaine de mégahertz à plusieurs gigahertz, réseaux de capteurs passifs alimentés par le réseau filaire, localisation d'un émetteur à quelques mètres près, historique des déplacements. C'est un produit de sécurité d'installation, vendu à des clients gouvernementaux et à de grandes entreprises, et son prix correspond à sa couverture. Au milieu, les systèmes de détection d'intrusion Wi-Fi intégrés aux infrastructures réseau des grands équipementiers. Efficaces sur leur périmètre, aveugles sur tout le reste : Bluetooth, sub-GHz, propriétaire. En bas, l'outillage libre , largement suffisant pour construire un capteur honnête : Kismet, rtl_433, OpenMQTTGateway, le sniffer Nordic nRF52840 avec Wireshark, et KrakenSDR pour la radiogoniométrie. Notre objet n'est pas de surveiller un espace mais de corroborer une décision d'accès, localement, sans réseau, à côté d'une machine. Un système de surveillance d'espace vous dit qu'un téléphone est entré dans le bâtiment ; il ne coupe pas l'alimentation de la presse. Ce sont deux métiers, et ils peuvent parfaitement coexister sur le même site. La boîte à outils, ouverte comme toujours BLE — sniffer Nordic nRF52840 avec le firmware officiel et Wireshark ; OpenMQTTGateway pour la passerelle d'écoute. Wi-Fi — Kismet, adaptateur en mode moniteur, analyse des trames de gestion. Sub-GHz — rtl_433 et ses décodeurs, sur RTL-SDR ou Airspy. Large spectre — HackRF One pour couvrir 2,4 et 5 GHz, GNU Radio pour le traitement. Radiogoniométrie — KrakenSDR, logiciels d'acquisition et de traitement en open source, sur Raspberry Pi. Support d'exécution — Raspberry Pi sous Linux durci pour l'effecteur d'écoute. Rien de tout cela n'est secret, et c'est encore une fois l'intérêt. Le sur-mesure reste là où il crée de la valeur : la corrélation entre ces signaux, la décision locale qui en découle, et le journal signé qui l'atteste. Pour finir : la différence entre entendre et comprendre Un atelier bien instrumenté entend énormément de choses. Ce qui est difficile, ce n'est pas d'entendre (un récepteur à trente euros y suffirait) c'est de savoir ce qu'on a le droit d'en conclure. Une annonce reçue ne prouve pas une présence. Une présence ne prouve pas une identité. Une identité ne prouve pas une autorisation. Et un silence ne prouve pas une absence : il peut aussi vouloir dire qu'on nous a mis un coussin sur les oreilles.
