Mifare vs DESFire : quelle technologie RFID choisir pour un contrôle d’accès inviolable en 2024 ?

En tant que Directeur des Systèmes d’Information, la vision d’un outil comme le Flipper Zero, capable de cloner un badge d’accès en quelques secondes, n’est plus un scénario de film mais une réalité opérationnelle. Face à cette menace, la réaction première est souvent de se tourner vers la solution la plus évidente : remplacer les badges vulnérables. La discussion s’oriente alors rapidement vers un débat technique entre les technologies Mifare Classic, encore très répandue, et son successeur sécurisé, DESFire. Pourtant, se focaliser uniquement sur cette comparaison, c’est regarder le doigt quand le sage montre la lune.

L’erreur fondamentale est de croire qu’une puce, aussi sophistiquée soit-elle, constitue une forteresse imprenable. Les systèmes de contrôle d’accès physique doivent désormais être considérés, comme le souligne l’ANSSI, comme des systèmes d’information à part entière. La véritable clé de la sécurité ne réside donc pas dans le seul composant matériel, mais dans la robustesse de l’architecture globale. La diversification des clés de chiffrement, la conception « transparente » des lecteurs, la journalisation des événements et la conformité réglementaire sont des maillons tout aussi critiques de la chaîne de confiance.

Cet article va au-delà du simple comparatif Mifare vs DESFire. Il vous fournit, en tant que DSI, une grille d’analyse stratégique. Nous décortiquerons les vecteurs d’attaque, les coûts cachés, les alternatives mobiles et les impératifs réglementaires pour vous permettre de bâtir non pas une porte blindée, mais une véritable citadelle sécurisée, cohérente et pérenne.

Pour naviguer efficacement à travers les différentes facettes de cette décision stratégique, cet article est structuré pour aborder chaque point clé de manière approfondie. Le sommaire ci-dessous vous guidera à travers les aspects techniques, financiers et réglementaires essentiels.

Cloner un badge d’immeuble à 5 € : pourquoi est-ce si facile avec le 125 kHz ?

La facilité déconcertante avec laquelle certains badges sont clonés repose sur une technologie vieillissante : la basse fréquence (LF) à 125 kHz. Ces badges fonctionnent comme de simples clés statiques. Ils transmettent un identifiant unique, non chiffré, à quiconque le leur demande. Un appareil à quelques euros peut donc « écouter » cet identifiant lorsqu’un badge est présenté à un lecteur, puis le réécrire sur un badge vierge. Il n’y a aucune authentification cryptographique, ce qui rend le clonage trivial.

Cependant, une confusion commune existe avec une autre technologie, également vulnérable : le Mifare Classic. Bien qu’opérant en haute fréquence (HF) à 13,56 MHz, ses premières versions utilisent un algorithme de chiffrement, le Crypto1, dont les failles ont été publiquement démontrées dès 2008. Des outils comme le Flipper Zero exploitent ces failles pour retrouver les clés de chiffrement et cloner les badges en quelques minutes. La situation est particulièrement critique en France.

Pour un DSI, le constat est sans appel : toute infrastructure reposant sur du 125 kHz ou du Mifare Classic doit être considérée comme compromise par défaut. La question n’est pas « si » une brèche peut se produire, mais « quand ». La migration vers des technologies à chiffrement robuste n’est plus une option, mais une nécessité impérieuse pour protéger les actifs de l’entreprise.

Bluetooth ou NFC : votre mobile peut-il remplacer votre badge en toute sécurité ?

La dématérialisation du badge d’accès sur smartphone est une tendance de fond, répondant à la fois à des enjeux de simplification pour l’utilisateur et d’optimisation pour le gestionnaire. Deux technologies s’affrontent : le Bluetooth Low Energy (BLE) et le Near Field Communication (NFC). Le NFC, fonctionnant sur la même fréquence que les cartes HF (13,56 MHz), offre une expérience similaire au badge classique, nécessitant un geste d’approche volontaire. Le BLE permet une détection à plus grande distance, ouvrant la voie à des accès « mains libres ».

Au-delà du confort, l’enjeu pour un DSI est la sécurité de cette virtualisation. La sécurité ne dépend pas tant de la technologie (BLE ou NFC) que de la robustesse de l’implémentation. Un badge virtuel sécurisé doit reposer sur des mécanismes de chiffrement de bout en bout entre le smartphone et le serveur de gestion, et entre le smartphone et le lecteur. Les clés d’accès doivent être stockées dans un « secure element » du téléphone, une enclave matérielle protégée, inaccessible au reste du système d’exploitation.

Les avantages opérationnels et financiers sont significatifs. Comme le souligne l’expert en contrôle d’accès STid dans son analyse des tendances :

Numériser le badge d’accès directement dans le smartphone simplifie et fluidifie la gestion des accès. La création, distribution et révocation du badge virtuel se fait en temps réel à n’importe quel endroit de la planète.

– STid, Blog STid Security

Cette agilité se traduit par une réduction drastique des coûts logistiques (production, envoi, remplacement des cartes perdues). Selon STid, le coût d’un badge virtuel est 2 à 5 fois moins cher qu’un badge physique sur sa durée de vie. Pour une entreprise, cela représente des économies d’échelle considérables et une surface d’attaque physique réduite.

Lecture à 5 cm ou 5 mètres : quelle technologie pour l’entrée du parking ?

Le choix de la technologie RFID pour un accès véhicule, comme une barrière de parking, est dicté par un besoin fondamental : la fluidité. Contrairement à une porte de bureau, l’interaction doit être rapide, fiable et si possible, sans action de la part du conducteur. La distance de lecture devient alors le critère discriminant principal. Trois grandes familles de fréquences s’offrent à vous, chacune avec ses spécificités.

Pour clarifier ces options, le tableau suivant synthétise les caractéristiques des principales technologies RFID utilisées dans le contrôle d’accès :

Pour un parking, la technologie UHF (Ultra Haute Fréquence) s’impose comme la solution la plus pertinente. Elle permet de lire un tag (ou badge) placé sur le pare-brise à plusieurs mètres de distance, déclenchant l’ouverture de la barrière sans que le conducteur n’ait à s’arrêter ou même à baisser sa vitre. Cette performance est cruciale pour éviter la congestion aux heures de pointe et ne pas empiéter sur la voie publique.

L’étude de cas des solutions hyperfréquences de Balogh pour le contrôle d’accès véhicule illustre parfaitement ce besoin de performance. Comme le rapporte une analyse d’InfoProtection, « Le contrôle d’accès des véhicules recherche une bonne fluidité des flux aux heures de pointe […]. Une solution rapide qui n’oblige pas à baisser la vitre permet cela. » La fiabilité est également un facteur clé : les clients exigent un taux de réussite de 100%, car un échec de lecture bloque immédiatement le flux. Les solutions UHF passives ou actives (avec batterie) sont conçues pour atteindre cette fiabilité, même dans des conditions environnementales difficiles.

Pourquoi vos badges cessent-ils de fonctionner à côté de votre téléphone ?

C’est un problème que de nombreux collaborateurs rencontrent : le badge d’accès, glissé dans le même étui que le smartphone, devient subitement inopérant devant le lecteur. Ce phénomène n’est pas dû à une « démagnétisation » du badge, mais à un principe physique simple : l’interférence électromagnétique. Les badges RFID HF (Haute Fréquence) et les puces NFC des smartphones fonctionnent tous les deux sur la même fréquence de 13,56 MHz.

Lorsqu’un badge est présenté à un lecteur, celui-ci émet un champ électromagnétique qui alimente la puce du badge (par induction) et lui permet de communiquer. Si un smartphone avec le NFC activé se trouve juste à côté, il peut lui aussi générer son propre champ ou perturber celui du lecteur. Le lecteur se retrouve alors face à deux « interlocuteurs » qui tentent de lui parler en même temps, ou un signal brouillé. Incapable de distinguer l’identifiant correct du badge, il rejette la communication. Le badge semble « ne pas fonctionner ».

Ce problème est particulièrement fréquent avec les lecteurs plus anciens ou moins sophistiqués qui ne disposent pas de protocoles d’anti-collision avancés. Ces protocoles sont conçus pour permettre à un lecteur de dialoguer avec plusieurs puces dans son champ en les interrogeant séquentiellement. Cependant, la proximité immédiate et la puissance potentiellement différente des signaux d’un badge passif et d’un smartphone actif peuvent mettre en échec même certains de ces mécanismes.

En tant que DSI, ce phénomène a deux implications. Premièrement, c’est un point à inclure dans la communication aux utilisateurs : il faut les éduquer sur la nécessité de présenter le badge seul, à l’écart du téléphone ou d’autres cartes RFID. Deuxièmement, lors du choix d’un nouveau système, il est pertinent de questionner le fournisseur sur la robustesse des algorithmes d’anti-collision de ses lecteurs face à ce scénario précis. Un lecteur moderne doit pouvoir isoler et lire correctement un badge même en présence de « bruit » électromagnétique généré par un smartphone.

Prix du badge vs Prix du lecteur : où se cache le vrai coût du RFID ?

L’une des erreurs les plus communes dans l’établissement d’un budget pour un système de contrôle d’accès est de se focaliser sur le coût unitaire du badge. Un badge Mifare Classic peut sembler attractif à quelques euros, tandis qu’un badge DESFire EV2 ou EV3 coûte sensiblement plus cher. Cependant, le coût total de possession (TCO) se cache ailleurs, dans des éléments bien plus stratégiques.

Le premier coût caché est celui de la sécurité. Opter pour une technologie vulnérable comme le Mifare Classic, c’est accepter un risque qui peut coûter des millions en cas d’intrusion. La migration vers des technologies sécurisées comme DESFire est donc un investissement, pas une dépense. La différence de sécurité est matérielle et certifiée : comme l’indique une analyse technique de Barcoda, la certification de sécurité des puces DESFire a évolué de EAL4+ à EAL5+ pour les versions les plus récentes (EV2/EV3). Ce niveau, EAL5+, garantit une conception et des tests semi-formels contre les attaques physiques et logiques, un gage de robustesse essentiel.

Le retour d’expérience sur les systèmes existants est sans équivoque. Une analyse de Technee rappelle que « le badge MIFARE Classic, longtemps standard […], présente depuis 2008 plusieurs failles majeures le rendant vulnérable au clonage. » À l’inverse, « le MIFARE DESFire (versions EV2 et EV3) offre un niveau de sécurité bien plus élevé grâce à son chiffrement avancé, étant plus complexe à cloner. » Le véritable coût d’un badge bon marché est donc le coût de la brèche de sécurité qu’il rend possible.

D’autres coûts cachés, identifiés par des experts comme Horoquartz, incluent :

• La migration technologique : Remplacer un parc de lecteurs et de badges a un coût initial important, mais il est inévitable pour quitter une technologie obsolète.
• La gestion et la formation : Un système standardisé, où un seul badge sécurisé (ou sa version virtuelle) sert à tous les usages (accès, cantine, impression), permet de réaliser des économies d’échelle significatives en simplifiant la gestion.
• La conformité : Suivre les recommandations de l’ANSSI pour la sécurisation des systèmes a un coût (par exemple, utiliser des lecteurs « transparents » et des modules SAM pour stocker les clés), mais il protège l’entreprise sur le plan légal et opérationnel.

Le vrai coût ne se trouve donc pas dans le plastique du badge, mais dans l’intelligence et la sécurité de l’architecture qui l’entoure.

Empreinte digitale au travail : que dit la CNIL en 2024 ?

L’utilisation de la biométrie, notamment l’empreinte digitale, pour le contrôle d’accès en entreprise est un sujet extrêmement sensible en France, rigoureusement encadré par la CNIL. Pour un DSI, comprendre ce cadre n’est pas une option, c’est une obligation légale. Le principe de base a été redéfini par le RGPD : les données biométriques sont des données sensibles, et leur traitement est en principe interdit, sauf exceptions strictes.

La CNIL, dans son règlement type sur la biométrie au travail, clarifie les conditions de ces exceptions. Comme elle le précise elle-même :

La nature des données biométriques a évolué : qualifiées de données sensibles par le RGPD, leur traitement devient en principe interdit. Le règlement type biométrie sur les lieux de travail précise comment encadrer les traitements de données biométriques de contrôle d’accès.

– CNIL, Le contrôle d’accès biométrique sur les lieux de travail

La CNIL n’autorise le contrôle d’accès par empreinte digitale que si les finalités le justifient (contrôle des accès à des zones restreintes, comme les salles serveurs, les zones de R&D, etc.) et si des mesures de sécurité drastiques sont mises en place. La CNIL impose en effet plus de 30 mesures de sécurité obligatoires pour de tels systèmes.

La solution technique privilégiée, voire imposée par la CNIL pour rester conforme, est celle du « Match-on-Card ». Le principe est simple : le gabarit de l’empreinte digitale de l’employé n’est jamais stocké dans une base de données centralisée de l’entreprise. Il est stocké exclusivement sur un support individuel que l’employé détient, comme une carte à puce (un badge DESFire, par exemple). Lors d’un contrôle, l’employé pose son doigt sur le lecteur ET présente son badge. Le lecteur lit l’empreinte fraîche, la transmet au badge, et c’est la puce du badge elle-même qui effectue la comparaison. L’employeur n’a ainsi jamais accès à la donnée biométrique brute, qui reste sous le contrôle exclusif du salarié. Cette approche de « Privacy by Design » est la seule qui garantisse une conformité quasi-totale avec les exigences du RGPD et de la CNIL.

Mot de passe par défaut : pourquoi votre caméra est-elle visible sur Shodan ?

L’image d’une caméra de sécurité d’entreprise accessible publiquement sur un moteur de recherche comme Shodan est le cauchemar de tout DSI. La cause est presque toujours la même : un mot de passe par défaut non modifié lors de l’installation. Ce problème, typique des objets connectés (IoT), illustre parfaitement une faille dans l’architecture de sécurité globale. Le système de contrôle d’accès physique est de plus en plus interconnecté avec d’autres systèmes (vidéosurveillance, gestion technique du bâtiment) et exposé, directement ou indirectement, au réseau de l’entreprise.

Un attaquant qui prend le contrôle d’une caméra peut non seulement espionner les locaux, mais aussi s’en servir comme d’un pivot pour attaquer le reste du système d’information, y compris le serveur de contrôle d’accès. La sécurité physique et la cybersécurité ne sont plus deux domaines distincts. C’est pourquoi l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) a émis des recommandations précises qui lient intimement ces deux mondes.

Pour l’ANSSI, un système de contrôle d’accès doit être durci comme n’importe quel autre système informatique critique. Cela passe par des mesures concrètes qui vont bien au-delà du simple choix d’un badge. Ces mesures visent à réduire la surface d’exposition et à garantir la résilience du système dans son ensemble.

Appliquer ces principes, c’est adopter une posture de « défense en profondeur ». La sécurité ne repose plus sur un seul point (le badge) mais sur une série de barrières successives qui compliquent la tâche de l’attaquant et permettent de détecter et réagir à une tentative d’intrusion.

Badge, code ou biométrie : quel système de contrôle d’accès pour votre PME ?

Arrivé au terme de cette analyse, la question finale pour un DSI est de synthétiser ces informations en une décision concrète. Le choix entre badge, code, biométrie, ou une combinaison de ces facteurs, n’est pas une réponse unique mais une matrice de décision à adapter au niveau de risque de chaque zone de l’entreprise. Il est impératif d’abandonner l’idée d’une solution universelle pour adopter une approche de sécurité différenciée.

Comme le martèle l’ANSSI dans ses recommandations, la vision stratégique est primordiale :

Les systèmes de contrôle d’accès doivent être considérés comme des systèmes d’information à part entière, relevant du périmètre de la Direction des systèmes d’information.

– ANSSI, Recommandations sur la sécurisation des systèmes de contrôle d’accès physique

Cette vision implique de questionner en profondeur son installateur sur des points techniques précis : utilise-t-il des têtes de lecture « transparentes » qui ne font que relayer les données chiffrées sans participer au processus cryptographique ? Les clés de chiffrement sont-elles stockées dans un module de sécurité matériel (SAM/HSM) ? Chaque badge possède-t-il une clé unique pour éviter qu’une compromission n’affecte tout le système ?

Pour aider à la décision, la matrice suivante, inspirée des niveaux de sécurité de l’ANSSI, peut servir de guide pour une PME en France :

Le système de contrôle d’accès idéal n’est donc pas monolithique. Il s’agit d’un écosystème intelligent, qui applique le bon niveau de sécurité au bon endroit, en s’appuyant sur une architecture globale robuste et conforme, et non sur le seul choix d’une puce.

Pour auditer et faire évoluer votre infrastructure de contrôle d’accès vers un niveau de sécurité optimal et conforme, l’étape suivante consiste à mandater un audit par un intégrateur spécialisé, en utilisant les recommandations de l’ANSSI comme cahier des charges.