Sécuriser un équipement sur une IP publique

Une IP fixe publique rend un équipement joignable de partout, et c’est bien le but : vous pouvez voir la caméra ou administrer le routeur depuis votre bureau. Cela signifie aussi que des scanners automatisés le trouveront, généralement en quelques heures. Un équipement sur une adresse IP publique doit être sécurisé avant sa mise en service, pas après.

Pourquoi c’est particulièrement important en data mobile

Par défaut, chaque carte ThingSIM a une adresse IP privée, que rien sur Internet ne peut atteindre. Ajouter une IP fixe publique (9,49 € HT par mois et par carte SIM) supprime volontairement cette protection. Dès lors, c’est la sécurité propre de l’équipement qui le sépare d’Internet.

La liste de contrôle

Suivez-la pour chaque équipement avant qu’il reçoive une adresse publique :

1. Changez les mots de passe par défaut. Les identifiants et mots de passe par défaut des caméras et des routeurs sont publiés et testés en permanence. Utilisez un mot de passe long et unique pour chaque équipement.
2. Mettez à jour le firmware. Installez le dernier firmware du fabricant et activez les mises à jour automatiques si l’équipement les propose.
3. Fermez ce dont vous n’avez pas besoin. Désactivez les services inutilisés, comme les anciennes interfaces web, Telnet ou UPnP, et ne redirigez que les ports nécessaires.
4. N’exposez jamais la page d’administration. Gardez l’interface d’administration du routeur ou de l’équipement hors de l’adresse publique chaque fois que possible.
5. Limitez qui peut se connecter. Si l’équipement ou le routeur peut restreindre l’accès à certaines adresses sources, comme celle de votre bureau, utilisez cette fonction.
6. Préférez un accès chiffré. Utilisez HTTPS ou l’application sécurisée du fabricant plutôt que des ports web ou vidéo non chiffrés.
7. Surveillez la data. Un équipement compromis se repère souvent à une consommation de data inattendue. Les alertes de consommation du portail, ou les webhooks de consommation, la signaleront ; voir webhooks de consommation.

Savoir quand ne pas utiliser d’IP publique

Une adresse publique est le bon outil pour un ou deux équipements auxquels vous vous connectez vous-même. Pour tout ce qui ne doit pas être exposé, comme les TPE (terminaux de paiement), les transmetteurs d’alarme et les parcs gérés par un service interne, un réseau privé est la meilleure architecture : un APN privé rend les équipements injoignables depuis Internet, et un VPN IPSec permet à vos systèmes de les joindre de façon privée. Le guide comparatif vous aide à choisir.

Si quelque chose semble anormal

Si un équipement se met à consommer beaucoup plus de data que d’habitude, ou se comporte bizarrement, retirez-le d’abord de l’adresse publique, puis enquêtez. Vous pouvez mettre la carte SIM en pause immédiatement depuis le portail pour couper la data pendant que vous vérifiez l’équipement, et retirer l’IP fixe si elle n’est plus nécessaire.

Questions fréquentes

Un équipement sur une IP fixe publique est-il sûr ?

Il est aussi sûr que sa propre sécurité. Changez les mots de passe par défaut, mettez à jour le firmware, fermez les services inutilisés et limitez l’accès avant la mise en service.

Quelle est la façon la plus sûre de joindre des équipements à distance ?

Les garder hors d’Internet avec un APN privé, un VPN IPSec ou une interconnexion cloud : vos systèmes les joignent de façon privée et rien n’est exposé.

Comment repérer un équipement compromis ?

Une consommation de data inattendue est un signe fréquent. Configurez des alertes de consommation dans le portail ou abonnez-vous aux webhooks de consommation pour qu’une hausse soudaine soit signalée.