Qu’est-ce que la sécurité des données RFID ?
Dec 10, 2025
Laisser un message
Qu’est-ce que la sécurité des données RFID ?
L'année dernière, un client nous a appelé, furieux. Leurs cartes de contrôle d'accès avaient été « piratées ». Il s'avère qu'ils utilisaient encore des cartes de proximité 125 kHz d'il y a dix ans. Quelqu'un a frôlé un employé dans le métro avec un appareil de la taille d'un téléphone, et le lendemain matin, un inconnu a accédé à son entrepôt à l'aide d'une carte clonée.
Nous fabriquons des produits RFID chez SYNTEK depuis près de 20 ans. Des histoires comme celle-ci ne sont pas rares. Nous avons vu des entreprises dépenser des millions en systèmes de suivi des actifs, pour ensuite découvrir que n'importe quel lecteur à 30 $ d'AliExpress peut réécrire ses balises. Nous avons vu des systèmes de fréquentation jouer avec des cartes en double-même numéro de carte apparaissant dans trois villes différentes à la fois.
"La sécurité des données RFID semble compliquée, mais le problème principal est très simple : les signaux sans fil peuvent être interceptés. Le plus délicat ? La plupart des acheteurs n'ont aucune idée du niveau de sécurité qu'ils obtiennent réellement."
Voici la chose dont personne ne parle
La RFID est un système sans fil ouvert. Votre tag et votre lecteur communiquent par ondes radio. Toute personne disposant du bon équipement peut écouter.
La communication sans fil s'effectue en plein air, ce qui rend l'interception possible sans contact physique.
Le problème a commencé tôt. Lorsque les fabricants ont conçu ces puces pour la première fois, ils se sont concentrés sur la question : « pouvons-nous le lire ? » pas "devrions-nous vous laisser le lire?" De nombreuses puces n’ont aucune authentification. Le lecteur demande « qui es-tu ? et le tag répond juste. Peu importe qu'il s'agisse d'un appareil légitime ou d'un type avec un Proxmark dans son sac à dos.
Imaginez-vous marcher dans la rue et annoncer haut et fort votre numéro de sécurité sociale à quiconque le demande. C’est essentiellement ainsi que fonctionnent de nombreuses cartes RFID.
Pourquoi les cartes 125 kHz sont une blague en matière de sécurité
Voici quelque chose dont l'industrie ne fait pas la publicité : une grande partie des cartes d'accès encore utilisées aujourd'hui fonctionnent sur la technologie des années 1990.
Ces cartes fonctionnent à 125 kHz. Le modèle de puce est généralement EM4100 ou TK4100. Comment fonctionnent-ils ? Mise sous tension, ID de diffusion, c'est fait. Pas de cryptage. Aucune authentification. Juste un numéro fixe stocké sur la puce.
Coût pour en cloner un ? Peut-être 20 $ pour un lecteur-écrivain sur Amazon, et 5 $ de plus pour des cartes vierges. Trois minutes de travail.
Les clients nous demandent parfois : « Pouvez-vous créer une carte cryptée à 125 kHz ?
Réponse courte : non. Le protocole lui-même ne prend pas en charge une sécurité sérieuse. Vous voulez une protection, vous passez à la haute fréquence 13,56 MHz ou UHF, avec des puces comme MIFARE DESFire ou ICODE DNA qui prennent effectivement en charge le cryptage AES.
À quoi ressemblent réellement les attaques
D'après des conversations avec nos clients, voici où la sécurité RFID échoue dans la pratique :
Clonage de carte d'accès
L'attaquant n'a pas besoin de toucher votre carte. Un-lecteur à gain élevé caché dans un sac messager, quelques secondes derrière vous dans un ascenseur ou une file d'attente pour le déjeuner-suffisant pour récupérer les données. Écrivez-le sur une carte vierge, et maintenant ils ont votre accès.
Une société de gestion immobilière nous a fait part d'une série d'effractions dans son complexe résidentiel. La police a finalement compris que le cambrioleur clonait les cartes d'accès des résidents. Les registres d'entrée du bâtiment ? Tous montraient les numéros de carte des victimes. Aucune trace du véritable intrus.
Falsification des données
Si votre système RFID suit l'inventaire ou les actifs, les étiquettes stockent des informations réelles, pas seulement des identifiants. C'est là que les choses se compliquent.
Les balises inscriptibles sont conçues pour les mises à jour-fonctionnalité utile. Mais sans protection en écriture, n’importe qui peut apporter des modifications. Quelqu'un dans la chaîne d'approvisionnement remplace « qualité standard » par « premium » sur les données de l'étiquette, ou avance la date de fabrication de six mois. Cela arrive.
Rejouer les attaques
Celui-ci est sournois. L'attaquant n'a pas besoin de décrypter quoi que ce soit. Ils enregistrent simplement la conversation entre votre tag et le lecteur, puis la rejouent plus tard.
Pensez-y comme ceci : vous glissez votre carte pour ouvrir une porte et quelqu'un à proximité enregistre l'intégralité de cet échange radio. La prochaine fois, ils pointent leur appareil vers le lecteur et appuient sur play. La porte s'ouvre. Le lecteur pense qu'il vient de revoir votre carte.
Pour arrêter cela, les systèmes ont besoin de-protocoles de réponse-essentiellement des mots de passe à usage unique-. Chaque authentification est différente, les enregistrements deviennent donc inutiles.
Le compromis coût/sécurité (et pourquoi ce n’est pas simple)
Les clients nous demandent tout le temps : des puces plus chères signifient-elles une meilleure sécurité ?
À peu près oui, mais ce n'est pas linéaire.
| Type de puce | Coût approximatif | Statut de sécurité |
|---|---|---|
| 125 kHz EM4100 | $0.10 | Aucun |
| MIFARE Classique 13,56 MHz | ~$0.40 | Compromis (2008) |
| MIFARE DESFire EV3 | $1-2 | AES-128 / Élevé |
Une carte EM4100 125 kHz peut coûter 0,10 $. Passez à 13,56 MHz MIFARE Classic et vous coûterez peut-être 0,40 $, mais la sécurité n'est guère meilleure (le cryptage de cette puce a été piraté en 2008). Accédez à MIFARE DESFire EV3 avec AES-128 et authentification mutuelle, vous envisagez 1 à 2 $ par carte, mais aucun exploit public connu n'existe.
La question est : avez-vous réellement besoin de ce niveau ?
Si vous suivez des clés dans une usine, en perdre une signifie en commander une de remplacement. Si vous contrôlez l'accès à un coffre-fort bancaire, une carte clonée signifie quelque chose de très différent.
Notre conseil aux clients : commencez par « quel serait le pire des cas si cela était compromis ? » puis travaillez à rebours. La moitié du temps, ce n’est pas un problème technique, c’est un problème de perception.
Ce que vous pouvez faire sans tout remplacer
Certaines situations nécessitent réellement des étiquettes bon marché, des bracelets événementiels, des étiquettes logistiques pour gros volumes. Des jetons premium pour tout ne sont pas réalistes. Mais vous avez d'autres options :
Limiter la plage de lecture
Une plage de lecture plus longue n’est pas toujours meilleure. NFC est conçu pour quelques centimètres-vous devez essentiellement toucher le lecteur. Rend le survol à distance beaucoup plus difficile.
Certains clients de haute-sécurité avec lesquels nous travaillons installent les lecteurs dans des boîtiers fermés. La carte doit être entièrement insérée pour s'inscrire. Bloque physiquement les attaques par canal latéral-.
Blindage RFID
Principe de la cage de Faraday. Enveloppez l'étiquette dans un matériau conducteur, les ondes radio ne peuvent ni entrer ni sortir. C'est ce que font les pochettes et les portefeuilles anti-RFID-. Nous fabriquons également des produits de blindage-consultez la section "Bloqueur de signal RFID" sur notre site.
Lorsque vous n'utilisez pas la carte, elle reste dans la pochette. Personne ne peut le scanner. Lorsque vous en avez besoin, retirez-le. Simple, efficace, pas cher.
Séparer l'identifiant des données
Autre approche : stocker uniquement un identifiant aléatoire et dénué de sens sur l'étiquette. Conservez les données sensibles réelles dans votre base de données backend. Même si quelqu'un clone la balise, il obtient une chaîne inutile. Sans faire correspondre les enregistrements backend, c'est de la foutaise.
Cela déplace le risque de la balise vers votre infrastructure de serveur. Mais cela permet de réduire les coûts des étiquettes.
Authentification mutuelle-à comprendre
Réponse au défi-mentionné plus tôt. Permettez-moi de développer ce point car c'est souvent mal compris.
L'authentification RFID traditionnelle est à sens unique : le lecteur vérifie l'étiquette. Mais les applications de haute-sécurité nécessitent une-authentification bidirectionnelle-la balise vérifie également que le lecteur est légitime.
Voici le flux :
Le lecteur envoie au tag un nombre aléatoire (le défi)
Tag exécute ce numéro via sa clé interne et renvoie le résultat
Le lecteur exécute le même calcul avec la même clé, compare
Ensuite, le tag envoie au lecteur un nombre aléatoire
Le lecteur calcule, renvoie, l'étiquette vérifie
Les deux parties doivent passer avant qu’un véritable échange de données n’ait lieu. Cela signifie qu'un faux lecteur ne peut pas inciter les balises à divulguer des informations.
MIFARE DESFire prend en charge cela. Quasiment obligatoire pour tout projet que nous réalisons avec des banques ou des agences gouvernementales.
Trucs pratiques avant de partir
1. Déterminez ce que vous exécutez actuellement
De nombreuses entreprises font installer des systèmes RFID par quelqu'un qui a quitté l'entreprise il y a des années. Le service informatique actuel n'a aucune idée de ce qui est réellement déployé. Obtenez au minimum les spécifications de votre fournisseur-, connaissez la fréquence et le modèle de puce.
2. Quantifiez votre pire cas
Si vos cartes d'accès sont clonées, quels sont les dégâts ? Si les étiquettes d'inventaire sont falsifiées, quel est le risque ? Mettez-y un numéro. Ensuite, décidez si une mise à niveau en vaut la peine.
3. Superposez votre sécurité
Tout n’a pas besoin d’une protection maximale. Les badges d'employés réguliers peuvent exécuter des puces-de niveau intermédiaire. Les portes des salles de serveurs et des bureaux financiers sont équipées de puces de haute-sécurité. Les étiquettes logistiques d’entrepôt peuvent être bon marché avec une vérification backend.
4. Auditer régulièrement
La RFID n'est pas configurée-et-oubliée. Vérifiez les journaux d’accès pour détecter les anomalies. La même carte apparaissant simultanément à deux endroits. Tentatives d'accès après-heures d'ouverture. Des modèles qui n'ont aucun sens.
5. Planifiez les mises à niveau
Si le budget est serré actuellement et que vous optez pour une solution-de niveau intermédiaire, choisissez au moins une architecture qui permet de futures mises à niveau. Ne vous enfermez pas dans un système fermé qui nécessite un remplacement complet dans trois ans.
Des questions ? Nous faisons cela depuis près de deux décennies chez SYNTEK. J'ai vu plus de modes de défaillance que prévu. Que vous souhaitiez spécifier un nouveau système ou auditer un système existant, nous serons ravis de discuter.
Envoyez demande