Vers une méthodologie normalisée d'évaluation des solutions RFID en application de sécurité

La technologie d'identification radio-fréquence (RFID) est de plus en plus utilisée dans des applications de sécurité comme le contrôle d'accès et les moyens de paiement. Cependant, elle présente des risques en terme de protection de la vie privée et d'usurpation d'identité. Le but de cette recherche est de mettre en avant ces risques et d'élaborer une ébauche de méthodologie normalisée pour les évaluer. Dans un premier temps, nous avons reproduit les récents résultats d'autres équipes de recherche sur la solution de contrôle d'accès iClass de la société HID. Pour cela, nous avons notamment implémenté la norme RFID ISO/IEC 15693 sur la carte Proxmark3. Nous avons pu confirmé que la mémoire de certains lecteurs iClass peut être récupérée et qu'elle contient des clés permettant de cloner toutes les cartes du niveau Standard Security. Nous avons aussi été en mesure d'implémenter les algorithmes cryptographiques de ce niveau de sécurité sur la Proxmark3, révélés dans un précédent article. Nous pouvons donc parfaitement simuler un lecteur ou une étiquette iClass du niveau Standard Security, ou encore espionner une communication. Dans un deuxième temps, nous avons étudié les limitations physiques des communications RFID. Dans ce cadre, nous avons réalisé la partie émission d'un système permettant d'augmenter la distance de communication entre la carte Proxmark3 et une étiquette. Notre expérience démontre que notre système permet d'activer une étiquette RFID à au moins 81 cm et qu'à cette distance, celle-ci est capable de comprendre les messages envoyés par la Proxmark3 et d'y répondre. Nous avons aussi testé quelques protections de type blindage électromagnétique qui visent à bloquer les communications RFID. Notre expérience montre qu'elles sont efficaces lorsque la carte RFID est complètement insérée dans la protection mais qu'une communication peut être effectuée si la carte ne dépasse que de 12 mm. Enfin, nous avons élaboré une méthodologie en quatre étapes pour évaluer les risques d'une solution RFID complètement inconnue. Cette méthodologie peut aussi servir de cahier des charges partiel pour la fabrication d'une nouvelle solution.