Sécurisez votre contrôle d'accès, maillon par maillon
Du badge au contrôleur, trois choix décident de la solidité de votre installation : la carte, la liaison et les clés. Voici comment passer du Wiegand et du 125 kHz à un système que l'ANSSI recommande, et comment SCAP vous accompagne à chaque étape.
Ce qui se passe vraiment sur votre porte
Ces faiblesses sont documentées depuis des années. Elles ne demandent ni compétence rare, ni matériel cher.
Le badge se copie
Une carte 125 kHz diffuse son numéro à qui l'interroge. Le chiffrement des Mifare Classic® (Crypto1) est cassé depuis 2008 : des outils du commerce retrouvent les clés. Lire seulement le numéro de série d'une carte, même récente, ne protège rien.
Le câble parle en clair
Le Wiegand transmet le numéro du badge sur deux fils de données, sans chiffrement, sans authentification et sans surveillance de la ligne. Qui accède au câble ou au lecteur peut lire et rejouer ce numéro.
L'ANSSI le dit sans détour
Dans son guide sur le contrôle d'accès physique, l'agence classe la configuration à badge clonable et celle à liaison filaire non protégée parmi celles « à proscrire ».
Maillon 1 : le badge
Quatre marches. Montez au moins jusqu'à la troisième.
Le numéro est lu tel quel et se recopie sur une carte vierge. Aucune authentification.
À remplacerUn chiffrement existe, mais il est cassé. Beaucoup d'installations lisent même le seul numéro de série.
À remplacerLa carte prouve qui elle est avec une clé que seul votre système connaît. Sans cette clé, elle ne se copie pas.
RecommandéUne application et des fichiers à vous, avec une clé différente pour chaque carte : même une carte percée ne dévoile rien des autres.
Référence
Le mapping, c'est quoi ?
Une carte DESFire® est un petit classeur : on y range des applications, des fichiers et des clés. Le mapping décide de ce rangement.
Mapping standard
Organisation et clés d'usine, connues de tous les installateurs. La carte est récente, mais n'importe qui la lit comme vous.
Votre mapping
Une application dédiée à votre site, des fichiers que vous seul savez lire, une clé secrète propre à chaque carte dérivée d'une clé maître. SCAP peut encoder vos cartes ainsi.
Maillon 2 : la liaison entre le lecteur et le contrôleur
Un badge solide ne sert à rien si son identité traverse le mur en clair.
Une liaison à sens unique, qui transmet un numéro lu en clair. Un tiers qui accède à la ligne peut le lire et le rejouer.
À remplacerLiaison bidirectionnelle et supervisée, avec adressage et retour d'état. Mais sans Secure Channel, les données restent lisibles.
TransitionLes échanges sont chiffrés et authentifiés avec une clé propre à chaque lecteur. À condition de ne pas garder la clé par défaut du standard.
RecommandéLe lecteur relaie sans comprendre : la carte s'authentifie auprès du contrôleur. La clé maître reste dans une carte SAM.
Référence
Pourquoi OSDP
Standard ouvert et bidirectionnel, sur un bus RS-485 à deux fils qui relie plusieurs lecteurs. Le câble Wiegand existant peut souvent être réutilisé pour la migration.
Le piège de la clé par défaut
Pour s'installer, un lecteur OSDP accepte une clé publique, définie par le standard, valable pour tous les lecteurs du monde. Tant qu'elle n'est pas remplacée, le « chiffrement » n'en est pas un.
Pourquoi aller jusqu'au transparent
Un lecteur posé côté couloir est un équipement exposé. S'il ne contient aucun secret, le voler ou l'ouvrir ne révèle rien. L'ANSSI recommande cette architecture.
Maillon 3 : les clés
La technologie ne vaut que par la façon dont on garde ses clés.
Une clé maître, protégée dans une carte SAM
La carte SAM fabrique elle-même les clés de chaque badge. Le contrôleur ne manipule jamais la clé maître. L'ANSSI le recommande fortement (R69).
Une clé différente pour chaque carte
Dérivée de la clé maître et du numéro de la carte : percer une carte ne permet que de la copier, jamais d'en fabriquer une autre.
Aucune clé d'usine laissée en place
Ni sur les cartes, ni sur les lecteurs OSDP. Changez-les à l'installation et notez qui détient quoi.
Une vie de clé, pas un coup unique
Dates de fin de validité sur les badges, procédure en cas de perte, plan de remplacement des clés en cas de compromission.
La cérémonie des clés et les cartes SAM
La clé maître est le secret de tout votre système. Elle se crée une seule fois, dans un cadre précis et tracé : c'est la cérémonie des clés.
Cadrer
Qui participe, quels sites, quelles zones. Des clés maîtresses distinctes selon le niveau de protection des zones, comme le recommande l'ANSSI (R70).
Générer la clé maître
Elle est produite dans un module sécurisé, par un tirage aléatoire de qualité. Elle ne transite jamais par un e-mail, un fichier ou un poste ordinaire.
Créer les cartes SAM
La clé maître est chargée dans chaque carte SAM : une par contrôleur ou par site, plus des cartes de secours. La carte SAM calcule ensuite elle-même les clés de chaque badge, sans jamais révéler la clé maître (R69).
Partager et sauvegarder
Une sauvegarde est conservée en coffre, en plusieurs parts confiées à des personnes différentes : personne ne détient seul l'ensemble.
Documenter
Un procès-verbal signé consigne les participants, la date, les numéros de série des cartes SAM et les clés créées.
Prévoir la suite
Détecter tout changement de clé, et préparer le remplacement en cas de compromission (R72 à R74).
SCAP prépare cette cérémonie avec vous, vous aide dans la création de vos cartes SAM, puis encode vos badges avec les clés qui en sont dérivées.
Organiser la cérémonieSCAP vous accompagne, étape par étape
Inutile de tout changer d'un coup. À chaque étape, la sécurité monte d'un cran, et vos accès continuent de fonctionner pendant la transition.
Ce que SCAP fait pour vous
SCAP accompagne ses clients de l'état des lieux jusqu'à la mise en service. Nous vous proposons plusieurs modèles de matériel, adaptés à votre environnement.
Diagnostic de votre installation
Identification de vos badges, état de vos liaisons et de leurs clés, plan de migration chiffré.
Badges DESFire® et encodage
Cartes, porte-clés et jetons DESFire®, avec encodage personnalisé de vos clés et de votre mapping.
Lecteurs, contrôleurs et cartes SAM
Plusieurs modèles compatibles avec l'OSDP, le Secure Channel et le mode transparent : nous choisissons avec vous celui qui convient à votre site.
Identifiant mobile MACS
Un token chiffré sur smartphone, sans badge physique à copier.
Pour aller plus loin
- ANSSI, Recommandations sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection : configurations types n°1 à n°4, recommandations R33, R37, R40 et R69.
- Norme OSDP (Open Supervised Device Protocol) de la Security Industry Association : Secure Channel en AES-128 et profil de lecteur transparent.
- MIFARE®, aperçu des familles de cartes : Classic, DESFire®.
MIFARE®, MIFARE Classic® et MIFARE DESFire® sont des marques déposées de NXP B.V. Les autres marques citées appartiennent à leurs propriétaires respectifs.