Sécurité des données RFID : chiffrement, authentification et protection

Risques réels des systèmes RFID

La sécurité RFID est souvent soit surestimée, soit sous-estimée. La réalité est plus nuancée : les risques existent, mais leur importance dépend fortement du cas d'usage spécifique.

Pour une application de gestion d'actifs industriels internes (entrepôt, maintenance, déchets), les risques de sécurité sont limités. Pour des applications impliquant des données personnelles, des transactions financières ou des contrôles d'accès sécurisés, les risques doivent être pris au sérieux et traités par des mécanismes adaptés.

Le premier travail est donc d'évaluer : quelles données sont stockées dans le tag ? Quelle est la conséquence d'une lecture non autorisée ? Quelle est la conséquence d'un tag cloné ou modifié ?

Types d'attaques et leurs implications pratiques

Lecture non autorisée (Skimming)

Le skimming consiste à lire un tag RFID sans que le porteur le sache, avec un lecteur non autorisé. La portée pratique de cette attaque dépend de la fréquence :

• NFC (13,56 MHz) : portée maximale de quelques centimètres — la personne malveillante doit être très proche. Risque pratique faible dans la plupart des contextes.
• UHF (860–960 MHz) : avec du matériel professionnel, des lectures à plusieurs mètres sont théoriquement possibles. En pratique, les environnements urbains denses et les obstacles réduisent significativement cette portée.

Impact concret : si le tag contient uniquement un identifiant interne non significatif hors contexte (un numéro opaque), la lecture non autorisée ne révèle rien d'utile. Si le tag contient des données personnelles ou des informations commercialement sensibles, le risque est plus élevé.

Clonage de tags

Le clonage consiste à lire le contenu d'un tag légitime et à le reproduire sur un autre tag. C'est la principale menace pour les applications d'authentification et d'anti-contrefaçon.

Contre-mesures :

• TID : l'identifiant TID du chip (inmodifiable, unique, écrit en usine) ne peut pas être cloné — un tag cloné avec le même EPC aura un TID différent.
• Authentification cryptographique : les puces avancées (MIFARE DESFire, NXP UCODE DNA) implémentent un défi-réponse cryptographique AES qui ne peut pas être reproduit sans la clé secrète.
• Tags inviolables (tamper-evident) : certains tags se détruisent si on tente de les retirer de l'objet, empêchant leur transfert vers un objet contrefait.

Relay Attack

Une relay attack consiste à intercepter et retransmettre en temps réel la communication entre un tag légitime et un lecteur, via deux équipements complices. Elle permet de "simuler" la présence d'un tag légitime à distance.

En pratique, cette attaque est complexe et coûteuse à réaliser. Elle est pertinente principalement pour les systèmes de contrôle d'accès et les paiements sans contact (cartes bancaires). Pour les applications industrielles de traçabilité, le risque est quasi nul.

Déni de service

Un brouillage radio intentionnel peut saturer les lecteurs RFID et empêcher les lectures. C'est théoriquement possible mais implique du matériel de brouillage illégal dans la plupart des pays. Pour les systèmes critiques, une redondance des lectures et des alertes en cas d'absence de lectures peuvent compenser ce risque.

Mécanismes de protection disponibles

Sécurité EPC Gen2 UHF

Le protocole EPC Gen2 intègre plusieurs mécanismes de sécurité de base :

• Access Password (32 bits) : protège l'écriture de l'EPC et des autres banques mémoire. Sans ce mot de passe, personne ne peut modifier les données du tag. Protection légère mais suffisante pour empêcher les modifications accidentelles ou non autorisées dans des applications à risque faible.
• Kill Password (32 bits) : désactive définitivement le tag. Utile en fin de vie d'un produit pour empêcher la lecture d'informations résiduelles.
• Verrouillage permanent (permalock) : certains blocs mémoire peuvent être verrouillés définitivement en lecture seule — personne ne peut les modifier, même avec le mot de passe.

Limite importante : l'Access Password EPC Gen2 de 32 bits n'est pas chiffré en transit — il est envoyé en clair sur le canal radio. Un adversaire avec du matériel approprié peut l'intercepter. Pour les applications nécessitant une sécurité robuste, passez à des puces avec chiffrement intégré.

Chiffrement dans les tags NFC

Pour les applications NFC à sécurité élevée, des puces avancées implémentent du chiffrement symétrique :

• MIFARE DESFire EV3 : chiffrement AES-128 natif, authentification mutuelle, compteurs anti-rejeu. La référence pour contrôle d'accès, billettique et applications financières.
• NXP UCODE DNA (UHF) : authentification AES-128 côté UHF pour les applications anti-contrefaçon. Génère une réponse cryptographique unique à chaque lecture, vérifiable côté serveur.
• NTAG424 DNA : puce NFC avec AES-128 intégré. Permet la génération d'un CMAC (code d'authentification unique) à chaque lecture, qui peut être validé côté serveur sans stocker la clé privée dans le tag.

TID comme base d'authentification légère

Pour beaucoup d'applications qui n'ont pas besoin de chiffrement complet, le TID offre un niveau d'authentification simple et efficace :

1. Lors de la programmation initiale, le TID de chaque tag est enregistré dans votre base de données en association avec l'objet tracé.
2. Lors de chaque lecture, le TID est lu en parallèle de l'EPC.
3. Si le TID ne correspond pas à celui enregistré pour cet EPC, le tag est suspect (éventuellement remplacé ou cloné).

Cette approche ne protège pas contre un adversaire sophistiqué mais détecte facilement les remplacements de tags non autorisés dans des applications industrielles.

Sécurité de l'infrastructure lecteur

La sécurité d'un système RFID ne se limite pas au tag. L'infrastructure de lecture doit également être sécurisée :

• Chiffrement des communications lecteur ↔ middleware : le protocole LLRP sur TLS (LLRP/TLS) ou des solutions propriétaires chiffrées évitent l'interception des données de lecture sur le réseau local.
• Authentification des lecteurs : dans les systèmes critiques, les lecteurs doivent s'authentifier auprès du middleware avant d'être autorisés à transmettre des données — pour empêcher l'ajout de lecteurs espions sur le réseau.
• Segmentation réseau : les lecteurs RFID devraient être sur un VLAN séparé du reste du réseau d'entreprise pour limiter la surface d'attaque.
• Journalisation des accès : enregistrez qui accède aux données RFID et quand, pour la traçabilité et les audits de conformité.

RFID et RGPD : données personnelles

Si votre système RFID traite des données liées à des personnes physiques identifiables (badges d'employés, cartes de fidélité, billets nominatifs, traçabilité de patients), le RGPD (Règlement Général sur la Protection des Données) s'applique. Points de vigilance :

• Minimisation des données : ne stockez dans le tag que l'identifiant opaque — les données personnelles restent dans la base de données, pas dans le tag physique.
• Droit à l'effacement : prévoyez la possibilité de désassocier un tag d'une personne (kill du tag ou dissociation dans la base de données) pour respecter le droit à l'oubli.
• Transparence : informez les personnes concernées de l'existence du système RFID et de son usage.
• Analyse d'impact (DPIA) : pour les traitements à risque élevé (suivi de personnes à grande échelle), une DPIA est obligatoire.

Bonnes pratiques par niveau de risque

Niveau 1 — Risque faible (traçabilité d'actifs internes, gestion de stocks)

• Stocker uniquement un identifiant opaque dans l'EPC
• Activer le mot de passe d'accès pour protéger l'écriture
• Verrouiller l'EPC si le tag ne doit jamais être reprogrammé

Niveau 2 — Risque moyen (anti-contrefaçon légère, équipements de valeur)

• Utiliser le TID comme vérification d'authenticité en parallèle de l'EPC
• Enregistrer TID et EPC dans la base de données lors de la programmation
• Choisir des tags inviolables si le risque de transfert de tag est élevé

Niveau 3 — Risque élevé (contrôle d'accès, données sensibles, transactions)

• Chiffrement AES-128 intégré (MIFARE DESFire, UCODE DNA, NTAG424)
• Authentification mutuelle à chaque transaction
• Clés cryptographiques gérées côté serveur (ne jamais stocker la clé dans le lecteur)
• Audit trail complet de toutes les lectures et écritures
• DPIA si traitement de données personnelles

Questions fréquentes sur la sécurité RFID

Ressources liées

• Qu'est-ce que le RFID : guide d'introduction complet
• Qu'est-ce que le NFC et comment fonctionne-t-il
• Mémoire des tags RFID : EPC, TID et User Memory
• Architecture RFID avancée : protocoles et conception système