Sécuriser HL7/MLLP avec Stunnel (mTLS)

Laurent Quastana — Mon, 07 Jul 2025 14:37:18 +0000

Vous échangez des flux HL7 en clair entre EAI et DPI ?
Voici comment les sécuriser avec TLS mutuel sans toucher au code source, en 4 commandes et un Docker Compose.

🌍 Contexte

Les messages HL7 sont souvent véhiculés via MLLP (Minimal Lower Layer Protocol)… sans chiffrement.
C’est encore toléré dans certains SIH, mais difficilement défendable en 2025 :

Exposition des données patients (PHI) en clair
Absence d’authentification forte entre systèmes

Alors comment ajouter une couche TLS mutuelle sans casser un lien MLLP existant ?
Réponse : Stunnel + Docker.

🚀 Objectif du projet

Le dépôt mllp-safetunnel fournit un environnement de test pour :

encapsuler HL7/MLLP en TLS (avec authentification mutuelle)
simuler des flux EAI ⇄ DPI via deux conteneurs Docker
tester la réception, les ACKs, et l’interopérabilité

🎯 Sans changer le code du DPI ou de l’EAI.

📦 Contenu du dépôt

Répertoire / fichier	Rôle
`eai/`	Dockerfile + scripts Python simulant l’envoi HL7
`dpi/`	Idem côté DPI (réception + retour)
`stunnel/`	Certificats X.509 de test + script `gen-certs.sh`
`docker-compose.yml`	Orchestration complète
`docs/`	Diagrammes, bonnes pratiques sécurité, cheatsheets HL7

Les conteneurs utilisent deux réseaux internes (net_eai, net_dpi).
Seuls les ports TLS (32100, 32200) sont exposés à l’hôte.

⚙️ Prérequis

Docker ≥ 24.0
Docker Compose v2
OpenSSL (si vous régénérez les certificats)
Ports TCP disponibles : 32100, 32200

🔧 Démarrage rapide

# 1. Cloner le dépôt
git clone https://github.com/votre_org/mllp-safetunnel.git
cd mllp-safetunnel

# 2. (Optionnel) régénérer les certificats
./stunnel/gen-certs.sh

# 3. Lancer l’environnement
docker compose up -d

# 4. Suivre les logs
docker compose logs -f eai

Des messages HL7 (MDM^T02, ADT^A01) sont simulés toutes les 20 secondes, avec accusé de réception (ACK).

📡 Détail des tunnels Stunnel

🔁 EAI → DPI (client TLS)

Étape	Port	Protocole
Envoi MLLP clair	`21010`	TCP
Tunnel TLS sortant	`32100`	TLS mutuel
Redirection vers DPI (clair)	`21010`	TCP interne

🔁 DPI → EAI (retour)

Même logique, avec les ports 22010 (clair) → 32200 (TLS) → 22010 (clair).

🧪 Simulation HL7

Chaque conteneur embarque :

Script	Rôle
`send.sh`	Envoie un fichier HL7, logue le résultat
`send_loop.sh`	Envoi auto toutes les 20 s (actif par défaut)
`listen.sh`	Écoute MLLP, affiche + ACK
`server.log`	Démarrage du service HL7

Exemple de test manuel :

# Depuis EAI vers DPI
docker compose exec eai /app/send.sh
docker compose exec dpi /app/listen.sh

# Depuis DPI vers EAI
docker compose exec dpi /app/send.sh
docker compose exec eai /app/listen.sh

🛠️ Personnalisation

Besoin	À modifier
Certificats de prod	Remplacer les fichiers dans `stunnel/`
Autres ports	Modifier `stunnel.conf` et `docker-compose.yml`
Remplacer simulateurs	Monter vos conteneurs EAI / DPI réels
Logs plus verbeux	Ajouter `debug = 7` dans les confs

🔐 Bonnes pratiques sécurité

TLS mutuel obligatoire (verify = 2)
Limiter l’exposition aux ports 32100 / 32200 uniquement
Automatiser la rotation des certificats (gen-certs.sh)
Surveiller stunnel.log, surtout en cas d’erreurs handshake

📈 Envisager la production

Ce projet est une base pour :

Démonstrateur sécurité avant mise en production
Formation des équipes DevOps santé

Il peut être adapté en k8s, supervisé avec Prometheus, ou branché sur un EAI Mirth/Rhapsody.

🧾 Licence

MIT — libre d’usage et d’adaptation, y compris en contexte hospitalier.

👉 Repo GitHub : github.com/lquastana/mllp-safetunnel
📢 Questions ? Ouvert aux PR / issues / idées !

Mapping a Hospital Information System

Laurent Quastana — Tue, 01 Jul 2025 11:53:43 +0000

1 — About me

I’m a software engineer who spent more than a decade designing application architectures in banking.

Since 2022 I’ve served as transversal architect for several public hospitals (~ 300 apps, 500 data flows). My role: give CIOs and operations a dual view—strategic and hands-on—of their digital ecosystem.

2 — Starting point

No global map – every silo had its own PowerPoint.
No flow matrix – impossible to size cyber-exposure or dependencies.
Sparse documentation on many off-the-shelf products.

Impact: governance suffered from limited visibility, slowing territorial convergence and compliance work (PGSSI-S, HAS 2025).

3 — Method: follow the ANSSI playbook

The French cyber-agency guide “Mapping an Information System in Five Steps” provides the backbone:

establish the stakes,
collect reality,
pick tooling,
produce the views,
keep the map alive.

4 — Micro view: an ANSSI-aligned cartography engine

To capture the nuts-and-bolts layer—processes, applications, assets, flows, criticality—I rely on an open-source engine built around the ANSSI meta-model.

Strengths

multi-user workflow & JSON API
out-of-the-box alignment with EBIOS risk analysis
easy to script exports for DevSecOps pipelines

Trade-offs

substantial first data load (time + people)
information-dense diagrams: perfect for engineers, too detailed for an executive “big picture”

5 — Macro view: a Draw.io schema

To bridge that big-picture gap, I built a Domain → Process → Application diagram (criticality, hosting model, mutualisation). Great for the C-suite—even if it can’t generate KPIs on its own.

6 — Dual tooling & data pipeline

Angle	Tooling choice	Purpose
Granular / operational	ANSSI-aligned cartography engine	Live knowledge base; validates new flows; links to biomedical assets
Macro / indicators	it-lanscape (my OSS repo)	Nightly JSON → static dashboards: process similarity, mutualisation rate, etc.

👉 Give it a try: fork the project on GitHub → https://github.com/lquastana/it-lanscape

DEV Community: Laurent Quastana