Panneaux solaires chinois : aucune preuve d’espionnage, mais une faille de sécurité persiste

La question de la sécurité des onduleurs chinois refait une fois de plus surface. Il y a quelques mois, Reuters avait publié une enquête révélant la présence de dispositifs de communication non documentés dans certains modèles chinois. Ces circuits pourraient en théorie transmettre des informations à l’extérieur en contournant les pare-feux, sans que l’utilisateur ne le sache. Cela avait suscité l’inquiétude des experts quant au risque de surveillance à distance ou de perturbation du réseau électrique.

Suite aux révélations du média, le département américain de l’Énergie (DOE) a mené une analyse dans l’objectif d’évaluer la vulnérabilité des technologies sans fil des onduleurs et de leur chaîne d’approvisionnement. Le document, relayé par PV Magazine, a été partagé avec des acteurs énergétiques, et indique qu’aucune preuve concluante de fonctionnalités hostiles n’a été établie.

Aucune preuve concluante

Les laboratoires nationaux du DOE ont procédé à l’inspection technique de trente onduleurs solaires chinois. Les équipes ont examiné les protocoles de communication intégrés aux appareils en les comparant à la documentation officielle fournie par les fabricants. L’objectif était d’identifier d’éventuelles fonctions sans fil non répertoriées, susceptibles de constituer des failles de cybersécurité ou des dispositifs cachés.

Au cours de ces recherches, les experts n’ont relevé que deux cas où les communications observées étaient différentes de celles décrites dans les documents techniques. Mais ces incohérences, précise le département, ne constituent pas une preuve de comportement malveillant. Les anomalies identifiées ont d’ailleurs été jugées « non intentionnelles ». La conclusion du DOE est donc sans ambiguïté : l’analyse n’a révélé aucune preuve définitive de dispositifs cachés au sein des onduleurs chinois.

Des risques malgré tout

Dans le document, le DOE reconnaît tout de même que l’architecture actuelle des onduleurs laisse la porte ouverte à des vulnérabilités possibles. L’agence rappelle qu’effectivement, ces équipements ne constituent pas uniquement une infrastructure électrique, mais surtout aussi numérique.

Une attaque sur un réseau électrique serait difficile à mettre en œuvre, mais reste réalisable via ces dispositifs connectés. Le risque ne proviendrait pas d’un seul appareil compromis, mais plutôt d’une exploitation coordonnée. Ainsi, si plusieurs onduleurs répartis sur différents sites étaient manipulés simultanément, cela pourrait permettre de perturber l’équilibre du réseau, d’affecter la production solaire, ou de provoquer des variations de tension, jusqu’à déclencher un blackout.

Même si un tel scénario reste difficile à réaliser, l’agence insiste sur l’importance du renforcement des règles de la cybersécurité tout au long de la chaîne industrielle : audits des firmwares, limitation des accès à distance, meilleure transparence des fabricants et contrôle accru des composants. En Europe, l’association SolarPower avait déjà aussi appelé à durcir les mesures de cybersécurité applicables aux infrastructures solaires suite à la découverte de composants non documentés dans des équipements importés au Danemark.