 |
|
|
| |
|
|
| Sommaire Sécurité |
|
| Ari Juels (RSA Security) : "Il faut développer de nouvelles techniques de défense spécifiques au RFID" |
| Chercheur au RSA Labs, Ari Juels évoque les enjeux et les risques de sécurité liés à l'utilisation des marqueurs à radiofréquences, alors que les coûts et la puissance des puces limitent les fonctionnalités actuelles.
(26/05/2005) |
|
Ari Juels est l'un des principaux chercheurs au laboratoire
RSA Labs de la société RSA Security. Il s'occupe
notamment des technologies RFID, remplaçant annoncé
du code barre.
JDN Solutions. Quelles ont été vos
recherches cette année dans le domaine des puces RFID ?
 Ari
Juels. Le travail principal pour nous a consisté à révéler
une faiblesse dans une puce RFID de Texas Instrument. Elle équipait
notamment les voitures de marque Nissan ou Toyota. Cette faiblesse
était celle du chiffrement, qui utilisait des codes de
40 bits de longueur, une taille que nous jugeons insuffisante.
Pour démontrer cette faiblesse, l'équipe de recherche a prouvé
qu'il était possible de cloner cette puce et d'obtenir par un
contact d'un quart de seconde seulement toutes les informations
détenues dessus.
Texas Instrument a voulu garder secret son protocole cryptographique
en ne livrant pas certains détails sur son fonctionnement. Il
a donc fallu d'abord un certain temps afin de retrouver la formule
qu'ils avaient utilisée. D'une manière générale, les chercheurs
semblent d'accord pour dire qu'un protocole gagne en sécurité
si son code est rendu publique de manière à ce qu'il puisse
être analysé.
Je
pense que cet exemple montre qu'il est dangereux de reproduire
les erreurs qui ont été commises lors du développement d'Internet
où la menace avait été sous évaluée. Pourtant les failles
des puces RFID se révèlent plus sévères que sur Internet et
peuvent coûter très chères. Il faut admettre toutefois qu'il
est difficile d'une manière générale de fournir un même niveau
de sécurité que sur un système plus puissant, comme les processeurs
de PC de bureau ou d'ordinateurs portables, les puces RFID étant jusqu'à
présent onéreuses à produire et plus limitées que des micro-processeurs
en termes de puissance.
Que préconisez-vous pour sécuriser
ces puces RFID ?
Je pense qu'il faut développer de nouvelles techniques de
défense spécifiques au RFID. Le blocker tag que nous
présentions il y a un an illustre cette nouvelle voie. Il
ne se traduit pas par un surcoût dans la fabrication de la
puce et fonctionne sur un principe simple : le blocker distingue
par un bit dédié le cas où un lecteur souhaite accéder à une
puce privée ou publique. Le lecteur envoie alors une question
aux différents tags présents afin de s'assurer qu'il accède
bien aux puces souhaitées.
| "L'ISIO
travaille en ce moment à refuser l'accès
pour des lecteurs non autorisés" |
Car l'un des problèmes du RFID se situe dans le fait qu'une
requête de découverte du lecteur renvoie automatiquement l'identifiant
unique des puces situées dans son champ d'action, ce qui nuit
au respect de la vie privée. Il devient possible avec ce blocker
tag d'empêcher l'envoi de cette information sans nuire au
fonctionnement de la puce par la suite.
Les problèmes de sécurité issus des technologies RFID diffèrent
des problèmes de sécurité rencontrés sur Internet. Si je connecte
mon PC, il est potentiellement accessible par tous à condition
qu'ils soient en ligne. Pour le RFID, seuls les lecteurs à
courte portée ont accès à l'information. Toutefois, réduire
la portée d'émission des puces n'est pas envisageable sans
nuire au confort d'utilisation, même pour le consommateur.
Il faut réussir à concilier la sécurité avec la simplicité
dans l'utilisation.
Actuellement, il existe deux moyens pour sécuriser une carte
d'identité électronique : la signature électronique et la
biométrie. L'ISIO (NDLR : International Security Industry Organization)
travaille en ce moment à empêcher la lecture des puces RFID
par des lecteurs non autorisé. L'idée est d'avoir un contact
optique obligatoire pour pouvoir lire l'information. Le gouvernement
aux Etats-Unis va d'ailleurs mettre en uvre ces techniques.
Quels sont les risques principaux
de sécurité qu'engendrent ces nouvelles technologies ?
On parle beaucoup des problèmes de clonage, c'est à dire la
récupération et la réutilisation des données issues des puces
mais l'écoute confidentielle représente à mon avis un risque
plus important. Ce qui m'inquiète, c'est le nombre de données
qui seront stockées sur ces puces. Les cartes d'identité électroniques
pourraient ainsi servir à plusieurs choses. En effet, il sera
tentant pour l'utilisateur d'utiliser sa carte d'identité électronique
lors de paiements au supermarché. L'entreprise aura alors accès
à des informations très personnelles comme les derniers pays
que vous avez visités, où vous habitez
| "Ce
qui m'inquiète, c'est le nombre de données
qui seront stockées sur ces puces" |
Pour l'instant, ce sont les gouvernements uniquement qui
utilisent ces données dans les projets de passeports numériques
aux Etats-Unis et en Europe. Mais si on manque de sécurité
dans ce domaine, il sera facile de pister quelqu'un. Malgré
tous ces problèmes, je pense que les puces RFID rendront service
au consommateur mais il faut s'assurer de leur sécurité. La
différence, je l'espère, vient du fait qu'Internet nous a
beaucoup appris en termes de menace.
Je ne pense pas que le frein à la biométrie soit relatif à son
efficacité ou à son aspect intrusif mais plutôt au fait qu'il
n'y ait pas, à l'heure actuelle, de dispositif intéressant la
mettant en uvre. Lorsque tout le monde utilisera des passeports
électroniques, la biométrie se répandra. Mais il y a là encore,
des problèmes de sécurité dont certains ne tiennent pas compte.
D'une manière générale, on a tendance à penser que la carte
d'identité électronique ne doit pas être conservée dans une
sphère privée et peut être rendue publique comme lors
d'un paiement en magasin.
Cette idée se vérifie car si l'on rattache un visage à une
carte et sa photo, il n'est plus possible d'usurper l'identité
d'une personne en lui volant son bien et en rendant anonyme
la photo. Toutefois, cela ne fonctionne plus lorsqu'il s'agit
de s'introduire dans un ordinateur en utilisant sa puce RFID
car lui n'analyse pas le physique de la personne. Un autre
intérêt de conserver cette carte dans une sphère privée
tient au fait que personne ne pourra récupérer la photo pour
la falsifier.
|
| |
| |
|
|
|
|
|
|
Dossier 