Parue chez notre confrère et ami Marc Brami, éditeur de Mag Securs, l'interview de Jean-Marc Grémy est symptomatique d'une tendance en voie de développement, celle voulant désormais considérer la RFID comme une source potentielle de menaces pour le système d'information de l'entreprise. Mais jugez-en plutôt par vous-même !
Pour Jean-Marc Gremy, Directeur Associé d’Ipelium en charge du développement de l’activité Conseil & Technologies la technologie RFID n’est pas une technologie sans risque, même si elle devrait permettre une amélioration du quotidien des utilisateurs tant dans les entreprises que dans le domaine de la vie privée. Et dans le domaine de la sécurité, les problèmes sont nombreux car ils concernent la disponibilité, la confidentialité et l’intégrité.
Mag Securs : Pourquoi Ipelium s’est intéressée à la RFID ?
Jean-Marc Gremy : Ipelium s’est penché sur les problèmes de sécurité associés à la RFID depuis le début. La mobilité et la sécurité sont les domaines dans lesquels nos consultants expriment leurs compétences et leur créativité. La RFID est assurément associée à la mobilité des biens et des personnes. Il est donc important tant pour l’organisation que pour les personnes de se poser quelques questions sur la sécurité liée à cette technologie. Son adoption de plus en plus importante dans différents secteurs d’activités économiques attire aussi les convoitises d’organisations ou de personnes malintentionnées.
De l’hyper-surveillance de type « Big brother » aux lectures/écritures de tags illicites..
MS : Quels sont les principaux risques que vous identifiez concernant les solutions RFID ?
Jean-Marc GREMY : On distingue les risques en fonction des cibles potentielles. En effet, les usages de la RFID sont multiples : identification des biens (produits industriels, produits sanitaires, humains...) et identification des personnes (paiements électroniques, passeports, contrôle d’accès...). On trouve aussi des applications pour le contrôle sanitaire des animaux domestiques et d’élevage. Sans être un problème de sécurité en soi, le Tag (puce électronique détenant une information) à une particularité : il répond aux sollicitations des Readers (lecteurs des Tags), quels qu’ils soient. C’est ce mode de fonctionnement qui génère les principaux risques dits de sécurité. La lecture de l’information stockée se fait sans contact entre le Tag et le Reader, les distances concernées sont faibles, quelques centimètres à quelques mètres.
Le tag, porteur de l’identifiant pour le bien ou la personne, contient une faible quantité d’information, un maximum de quelques milliers de caractères. Il n’a pas été conçu pour stocker de l’information au sens ou l’est la mémoire de masse. Ce support ne contient, théoriquement, pas d’information confidentielle. Ce qui pose en fait le problème le plus aigu dans la RFID, c’est l’usage que l’on fait de l’information stockée. En soi, que l’on puisse savoir que vous avez dans votre sac un passeport français n’est pas un problème de sécurité, le problème commence lorsque l’on imagine ce que l’on pourrait faire de cette information. Comment et quelle organisation pourrait l’exploiter ? Pour illustrer le propos, citons un autre exemple, dans un grand magasin culturel vous achetez certains livres, le Tag des produits va faciliter votre passage en caisse. Plus de performances, moins d’erreurs, le consommateur en sort bénéficiaire. Mais imaginons maintenant que sorti du magasin vous passiez à proximité du « ministère de la pensée unique ». Ce dernier peut lire en même temps votre passeport - toujours dans votre sac - ainsi que le titre des livres achetés, subversifs à son goût. George Orwell a très bien décrit les usages potentiellement malveillants qu’un système totalitaire peut faire de technologies par ailleurs fort utiles.
On voit donc que les risques contre lesquels certains lobbies militent ne concernent pas que l’infrastructure, les protocoles et la technologie en générale, mais plutôt l’usage incontrôlé de celle-ci.
Pour revenir sur un registre plus technique, parmi les risques identifiés on peu citer : la lecture non désirée du Tag par un tiers, l’interception dans « l’éther » des échanges, la modification des données du Tags, la destruction physique des Tags, le brouillage des communications entre Reader et Tag, l’usurpation d’identité dans les systèmes de contrôle d’accès...
On comprend facilement que l’exposition aux risques et aux traitements attendus par la grande distribution pour le contrôle des produits de consommation, par exemple, ne sera pas le même que ceux attendus par le Department of HomeLand Security pour le contrôle des citoyens Américains.
MS : Quelles sont les principales contraintes techniques à prendre en compte ?
Jean-Marc Gremy : Les problèmes de sécurité (sur l’ensemble du front de la Disponibilité, de la Confidentialité et de l’Intégrité) se posent tant pour l’infrastructure : les Tags et les lecteurs (Readers) mais aussi en amont et en aval de celle-ci. D’abord pour le Tag lui-même, pour le contrôle que l’utilisateur ou le « porteur » - professionnel ou grand public- peut exercer dessus (suivi des données lues par les Readers et traitements associés). En France nous disposons d’une instance qui étudie déjà les problèmes de suivi de cette information : la CNIL. Cet organisme travaille à la façon dont on pourrait contraindre la technique ou les organisations à concevoir et déployer de telles architectures. La RFID est un outil efficace pour assurer la traçabilité des biens et des personnes. Si les coûts d’acquisition et de déploiement de cette technologie sont encore élevés pour la voir se généraliser, ceux de sa sécurité ne sont pas aujourd’hui évalués et/ou évaluables. En revanche, il faudra prévoir un système de surveillance et de sécurité pour assurer la sûreté de la RFID et une réglementation pour contraindre les utilisateurs, à savoir : les entreprises utilisatrices, les constructeurs, les sociétés de conseil et d’implémentation ainsi que les rares opérateurs de services sur ce créneau.
Par ailleurs, il ne faut pas perdre de vue que la RFID est une technologie qui existe, sous d’autres formes, depuis quelques temps. Les premières implémentations remontent aux années 50. L’Internet n’était pas encore né. Certes la sécurité n’a pas attendu Internet pour être prise en compte par l’entreprise, mais le réseau des réseaux a assurément fait prendre conscience à tout le monde, utilisateurs et fournisseurs, qu’avec l’avènement d’une nouvelle technologie, des risques nouveaux apparaissent.
Les solutions de sécurisation de la RFID sont une opportunité pour les éditeurs et constructeurs
MS : Quel est l’état de l’art des solutions de sécurisation de la RFID ?
Jean-Marc Gremy : Tous les acteurs de l’industrie informatique sont aujourd’hui impliqués dans la recherche de solutions de sécurité pour la RFID. Comme toujours, il y aura des opportunités importantes pour les acteurs majeurs (éditeurs et constructeurs) des solutions de sécurité des Systèmes d’Information. Les solutions dédiées à la sécurisation de la technologie ne sont pas encore en phase d’industrialisation, mais de nombreux acteurs s’y intéressent de très prés, souvent au travers de leur activité de Professional Services. Par contre, point positif s’il en est un, les early adapters de la technologie ont pris la mesure des problèmes de sécurité posés. Au travers des groupes de travail et des lobbies, ils influencent les travaux des instances de normalisation et de régulation.
Il existe quelques moyens de sécurité intrinsèques à la technologie RFID : des mesures cryptographiques existent mais à ce jour elles sont beaucoup trop faibles ; quelques chercheurs ont pu d’ailleurs faire la démonstration de leur faiblesse par cryptanalyse. Il n’y a pas à ce jour de solutions extrinsèques à la technologie telles qu’on les connaît pour les réseaux ambiants (i.e. WLAN) ; la solution vient de l’intérieur. L’ISO qui promeut la normalisation de cette technologie de l’information travaille sur l’amélioration de la sécurité de la technologie.
La technologie ne peut pas tout. Inutile d’attendre une déclinaison de la norme ISO 18000 pour prendre des mesures préventives. Comme dans tous les environnements où l’informatique est devenu omniprésente, la gestion des objets comme celles de la gestion des personnes doit faire appel à des réflexes de sécurité, plus qu’à de la technologie seule. Les industriels font preuve d’imagination pour la gestion des Tags : mise en œuvre de micro-cages de Faraday, fonctionnalité de désactivation du Tags, combinaison avec la traditionnelle lecture optique, Tag à usage unique ...
Dernier point, l’interopérabilité des constructeurs de Tags et de Readers n’est pas toujours assurée. En effet, il existe plusieurs normes et implémentations de la RFID. Cette situation contribue, malgré la volonté des acteurs, à offrir une forme de sécurité, certes limitée.
...Même si des solutions existent déjà
MS : Quels sont vos conseils pour effectuer un déploiement sécurisé ?
Jean-Marc Gremy : Nous l’avons évoqué précédemment, la sécurité de la RFID est à apprécier sur deux niveaux : la technologie et son usage. Les mesures proposées sont souvent un mélange des deux. Par exemple, on peut citer des mesures comme le chiffrement lors de leur génération des données stockées par le Tag, de limiter les capacités radio (antenne amovible, cage de faraday, distances de propagation hertzienne), de coupler d’autres moyens de lecture (optique par exemple)... Bien évidemment, à chaque application doit voir appliquées les mesures de sécurité appropriées. Il ne faudra pas non plus oublier les mesures de sécurité associées aux SI, bases de données en tête, qui traitent les informations collectées.
L’implémentation de la RFID dans sa dimension grand public fera appel à des mesures, certes techniques, mais aussi très certainement éthiques de la part des fournisseurs et utilisateurs, comme la grande distribution.
A l'heure où l'on parle de rouvrir les mines de Charbon dans l'Hexagone, voici une nouvelle qui devrait intéresser toutes les exploitations minières. Wtek, entreprise norvégienne spécialisée dans la RFID vient de lancer Watchermine, une solution de traçabilité dédiée à ce secteur. Le plan de la mine est ici représentée sous forme d'un plan de mine logiciel, le système fonctionnant à l'aide de petits transpondeurs placés sur tous les mineurs ainsi que sur les équipements. Le signal transmis est alors triangulé selon la position des mineurs dans les galleries et reporté sur le plan virtuel qui permet de suivre leurs déplacements et les incidents pouvant survenir. En cas d'éboulement ou de coup de grisou, il est ainsi possible d'une part de mieux surveiller l'évacuation des équipes et de l'autre de détecter plus facilement la position des personnes coincées dans une portion des galeries. Par ailleurs, le suivi de l'évacuation par ce procédé permet de faire sauter certaines portions de roche en étant sûr que personne n'est resté dans les galleries. De même, le système permet de repérer le positionnement des différentes machines de forage (un matériel coûteux qu'on ne saurait abandonner aux aléas).