Sécurité réseau en entreprise avec un robot Unitree : isoler, mettre à jour, protéger les données

Quand on parle de sécurité réseau en entreprise avec un robot Unitree, le point de départ est l'architecture documentée par le fabricant, pas le service dans lequel le robot va circuler. Un G1 ou un Go2 n'est pas un appareil isolé : il a un système d'exploitation, un compte, un canal de mise à jour et, sur le G1 EDU, un accès SSH pour le développement. Le travail du responsable IT consiste à décider quels canaux garder ouverts, sur quel segment et avec quels identifiants.

Informations générales, pas de conseil juridique ni de conseil en cybersécurité. Les configurations doivent être adaptées au réseau, au contrat et à la version du robot ; pour un cas précis, il faut le fournisseur et, si nécessaire, un consultant.

Sécurité réseau en entreprise : les trois niveaux à séparer

Le premier niveau est le réseau : qui peut parler au robot et vers quelles destinations. Le deuxième est le terminal : identifiants, services exposés, Bluetooth, ports USB et comptes. Le troisième, ce sont les données : vidéo, audio, cartes, télémétrie et sauvegardes. Si l'on n'intervient que sur l'un des trois, les deux autres restent exposés.

La bonne question est de savoir quels canaux sont réellement nécessaires. Un Go2 utilisé avec la télécommande n'a pas besoin de téléopération à distance ; un G1 EDU pour ROS 2 a besoin de l'accès au réseau du robot et de SSH, pas forcément de l'application sur Internet.

Quelles applications et quels services cloud utilise un robot Unitree

La documentation pour développeurs décrit une architecture commune au Go2 et au G1. Le robot se connecte aux services cloud uniquement après autorisation de l'utilisateur. Le cloud sert à trois choses : télémétrie et diagnostic, mises à jour du système et téléopération via WebRTC. Les canaux déclarés sont MQTT pour la communication IoT et les mises à jour, HTTP pour le compte et l'appairage, TURN/STUN pour acheminer la vidéo quand la connexion directe ne fonctionne pas. Le Bluetooth LE sert à la configuration du réseau et à la vérification de sécurité ; à l'intérieur du robot, la communication entre modules passe par DDS.

Le réseau local : Ethernet, DDS et 192.168.123.x

Deux détails changent la conception. Le premier : le réseau interne du robot utilise le sous-réseau 192.168.123.x ; l'ordinateur de développement du G1 répond sur 192.168.123.164, celui embarqué du Go2 sur 192.168.123.161. Il ne doit pas être exposé au réseau de l'entreprise. Le second : sur les versions Go2 Air et Pro, les interfaces Ethernet et SBUS ne sont pas disponibles ; elles sont réservées à la version EDU. Si le projet exige un câble, la version doit être choisie avant la commande, pas après.

Configurer un VLAN isolé, étape par étape

Il n'existe pas de configuration valable pour tous les sites, mais l'ordre des étapes est toujours le même. Exemple avec des numéros hypothétiques : VLAN 210 pour les robots, sous-réseau 192.168.210.0/24, passerelle 192.168.210.1, adresses réservées de .10 à .30 ; VLAN 200 pour l'administration, avec un jump host.

1. Séparez le trafic. Créez un VLAN et un SSID dédiés. Ne réutilisez pas le VLAN des PC ni celui de gestion.
2. Bloquez le routage latéral. Le VLAN robot ne doit pas atteindre le réseau des utilisateurs. Le seul accès administratif passe par un jump host sur le VLAN 200, avec des règles nominatives et des journaux.
3. Attribuez des adresses stables. Réservations DHCP ou IP statiques pour chaque robot, avec l'adresse MAC et le numéro de série dans l'inventaire.
4. Partez d'un refus par défaut en sortie. N'ouvrez que les destinations nécessaires pour l'OTA, l'application et la téléopération, et seulement pendant les fenêtres où elles servent.
5. Gardez DDS à l'intérieur du VLAN. La communication locale entre le PC de développement et le robot utilise DDS ; le multicast de découverte ne doit pas traverser un routeur ou un pare-feu sans configuration dédiée. Pour les premiers tests, suivez le guide ROS 2 sur un robot Unitree.
6. N'exposez pas le sous-réseau 192.168.123.x. Si un fournisseur demande un accès à distance, prévoyez une session temporaire et tracée.
7. Mesurez avant de fermer. Laissez passer le trafic quelques jours, enregistrez les destinations et les volumes, puis construisez la règle. Sans référence, la liste blanche devient une liste d'exceptions.

Ce qu'il faut désactiver ou limiter si ce n'est pas nécessaire

La documentation développeurs indique pour le G1 EDU l'utilisateur unitree et un mot de passe initial connu ; il en va de même pour la station d'accueil du Go2. Ce sont des identifiants de laboratoire : ils doivent être changés avant de connecter le robot au réseau, ainsi que les identifiants du point d'accès. Avec un compte partagé, on ne peut pas attribuer un accès à une personne.

L'application utilise le Bluetooth pour configurer le réseau et vérifier la sécurité de la connexion. La mesure utile est physique : configuration dans une zone réservée, téléphone professionnel et opération enregistrée. Ensuite, l'accès à la zone et aux ports reste limité.

Mises à jour : comment les gérer sans tout ouvrir

Unitree déclare l'OTA via le cloud pour le G1 et pour le Go2 ; la page Go2 précise que le robot ne se connecte qu'avec l'autorisation de l'utilisateur et l'architecture indique MQTT pour les mises à jour. Un VLAN sans Internet ne reçoit pas l'OTA : cela doit être intégré au projet avant l'installation.

Une procédure viable en entreprise comporte six étapes :

1. Inventaire des versions. Notez le firmware du robot, la version de l'application et, le cas échéant, la version de la station d'accueil ou du module de calcul.
2. Fenêtre de mise à jour. Ouvrez la sortie vers les services du fabricant uniquement pendant la fenêtre convenue, avec un robot à la fois.
3. Test sur un exemplaire. Mettez d'abord à jour un robot de laboratoire, vérifiez le mouvement, les capteurs, le réseau et votre application.
4. Vérification après la mise à jour. Contrôlez la version installée et refaites le test réseau. Si la mise à jour change le comportement, arrêtez-vous et ouvrez un ticket.
5. Journal. Conservez la version, la date, le résultat et l'opérateur.
6. Plan B en cas d'isolement total. Si le réseau n'a pas de sortie, demandez au fournisseur la procédure hors ligne et les paquets officiels. Pas de firmware tiers.

Pour le G1, la procédure côté application, les contrôles avant de commencer et les erreurs à éviter sont dans le guide de la mise à jour du firmware du G1. En règle générale : batterie chargée, réseau stable, aucune interruption et une procédure de retour arrière convenue avec le fournisseur.

Données : vidéo, audio et télémétrie

Un G1 dispose d'une caméra de profondeur, d'un LiDAR, de quatre microphones et d'un haut-parleur ; un Go2 a une caméra, un LiDAR et, sur certaines versions, la voix et l'interphone. Ce sont des capteurs utiles pour l'application, mais ils captent aussi ce qui entoure le robot. Si le robot filme ou enregistre des personnes identifiables, le traitement entre dans le périmètre du RGPD et des indications des autorités de protection des données sur la vidéosurveillance (par exemple le Garante italien) : finalités, minimisation, information, durées de conservation et, lorsque les conditions sont réunies, analyse d'impact.

Unitree déclare que les données opérationnelles collectées par le cloud ne concernent pas la vie privée et que le trafic WebRTC n'est ni collecté ni analysé par le serveur. Ce sont des déclarations utiles pour le contrat, mais elles ne remplacent pas l'évaluation du responsable du traitement. Avant la téléopération, décidez où vont les enregistrements et qui peut les voir.

Sur le robot, demandez si le disque est chiffré et comment les données sont effacées avant une reprise ou une réparation. Si ce n'est pas documenté, traitez-le comme un ordinateur portable.

Cyber Resilience Act : les faits à connaître

Le règlement (UE) 2024/2847, le Cyber Resilience Act, est en vigueur depuis le 10 décembre 2024. Les obligations de signalement s'appliquent à partir du 11 septembre 2026 ; les obligations principales à partir du 11 décembre 2027. Il concerne les produits avec éléments numériques mis sur le marché de l'UE, donc aussi un robot connecté.

Selon la fiche de la Commission européenne, le fabricant doit garantir une sécurité par défaut, gérer les vulnérabilités pendant la période de support, en déclarer la fin, fournir des instructions d'utilisation et apposer le marquage CE. Ce n'est pas une obligation automatique pour l'acheteur.

Pour l'acheteur, le CRA est une liste de questions avant la commande : fin du support, canal pour les vulnérabilités, mises à jour, instructions pour une installation sécurisée. Ce sont des informations que le fabricant fournit et que l'acheteur peut exiger. Une entreprise qui commercialise le robot sous sa propre marque peut assumer des obligations de fabricant.

Le CRA ne remplace pas le règlement machines (UE) 2023/1230 : la sécurité machine reste régie par ce règlement. Le guide du règlement machines 2027 explique la partie machines.

Checklist avant d'amener le robot dans l'atelier

1. VLAN et SSID dédiés, sans routage vers le réseau des utilisateurs.
2. Adresses stables et inventaire avec adresse MAC, numéro de série et version du firmware.
3. Mots de passe du robot, du point d'accès et du compte changés ; aucun compte personnel.
4. Sortie Internet fermée par défaut, ouverte uniquement pour l'OTA et la téléopération.
5. Procédure de mise à jour écrite, avec test sur un exemplaire et journal.
6. Évaluation de la vie privée si le robot filme ou enregistre des personnes.
7. Contrat avec période de support et canal de signalement des vulnérabilités.
8. Plan de fin de vie : effacement des données, révocation des comptes, retrait du VLAN.

Produits cités dans l'articleCatalogue Unitree

Unitree G1 Edu Standard (G1-U1)

SDK, 23 DoF, Ethernet pour le développement

38 004,54 € HT

Voir la ficheDevis

Unitree Go2 Edu Standard

SDK et ROS 2, Ethernet RJ45

8 804,14 € HT

Voir la ficheDevis

Unitree B2

Quadrupède industriel, environ 60 kg

66 827,62 € HT

Voir la ficheDevis