Référence des ports
Port 4840 (TCP) – OPC UA
OPC Unified Architecture — échange de données industrielles sécurisé et indépendant de la plateforme entre serveurs, clients et automates.
État par défaut
Ouvert sur les serveurs OPC UA des automates, passerelles et SCADA, souvent configuré en SecurityMode None et accès anonyme.
Attaques courantes
- Connexions anonymes/None lisant et écrivant les données de procédé
- Énumération des endpoints et namespaces via GetEndpoints / opcua-info
- Exploitation de CVE de pile/serveur et de failles de validation de certificat
- Parcours de l'espace d'adressage pour cartographier le procédé contrôlé
Durcissement
- Ne jamais exposer le port 4840 à Internet — garder OPC UA sur un segment OT
- Imposer SecurityMode SignAndEncrypt avec des certificats d'application de confiance
- Désactiver l'accès anonyme ; exiger une authentification utilisateur et le moindre privilège
- Mettre à jour la pile/le serveur OPC UA et surveiller avec un IDS ICS
Commande nmap
nmap -p4840 --script opcua-info <target>Remplacez <target> par l’hôte ou la plage que vous êtes autorisé à scanner.
Ce qui s'exécute sur le port 4840
Le port 4840 héberge OPC UA (Unified Architecture), le standard moderne et indépendant de la plateforme pour l'échange de données industrielles. Les clients se connectent à l'endpoint d'un serveur pour parcourir l'espace d'adressage, lire et écrire des nœuds, s'abonner aux changements de données et appeler des méthodes. Il s'exécute dans les automates, passerelles, historiens et SCADA, et contrairement aux protocoles hérités, il a été conçu avec une sécurité intégrée.
Pourquoi c'est important pour la sécurité
OPC UA prend en charge SecurityMode SignAndEncrypt, les certificats d'application et l'authentification utilisateur — mais leur valeur dépend du déploiement. En pratique, de nombreux serveurs fonctionnent en SecurityMode None avec accès anonyme, donc tout client qui atteint le port 4840 peut parcourir et écrire l'ensemble du modèle de procédé. Ajoutez des CVE de pile et une validation de certificat laxiste, et un protocole sécurisé puissant devient une porte ouverte vers l'environnement OT.
Comment il est attaqué
Les attaquants énumèrent les endpoints avec GetEndpoints ou le script nmap
opcua-info, révélant les politiques de sécurité et si None/anonyme est
autorisé. Si c'est le cas, ils parcourent le namespace pour cartographier le
procédé et écrivent des nœuds pour l'influencer. Sinon, ils sondent les CVE de
pile/serveur et les failles de gestion des certificats.
Liste de durcissement
N'exposez jamais le port 4840 à Internet — gardez OPC UA sur un segment OT isolé derrière des pare-feu. Imposez SecurityMode SignAndEncrypt avec des certificats d'application de confiance, désactivez l'accès anonyme et exigez une authentification utilisateur avec le moindre privilège. Mettez à jour la pile et le serveur OPC UA, et ajoutez un IDS ICS. N'utilisez la commande nmap ci-dessus que sur les systèmes que vous êtes autorisé à évaluer.
Ports liés
Questions fréquentes
- OPC UA est-il sécurisé par défaut ?
- OPC UA peut être très sécurisé avec SignAndEncrypt et l'authentification par certificat, mais il est fréquemment déployé en SecurityMode None et accès anonyme, ce qui supprime toute protection. La sécurité dépend entièrement de la configuration.
- Quelle est la différence entre OPC UA et Modbus ?
- Modbus n'a aucune sécurité, alors qu'OPC UA a été conçu avec signature, chiffrement et authentification. Le risque avec OPC UA est la mauvaise configuration — revenir à None/anonyme le rend presque aussi exposé que Modbus.