Un système de contrôle d’accès par badge repose sur trois mécanismes enchaînés : authentification du porteur, vérification des droits dans un référentiel, puis commande d’un organe de verrouillage. Derrière cette séquence simple, les choix technologiques, l’architecture réseau et la gestion des identités déterminent le niveau réel de sûreté. Nous détaillons ici les points techniques qui font la différence entre une installation fiable et un dispositif contournable.
Protocoles RFID et chiffrement : ce qui sépare un badge sûr d’un badge clonable
La fréquence radio et le protocole de communication conditionnent directement la résistance au clonage. Un badge à 125 kHz sans chiffrement (type EM4100) transmet son identifiant en clair. Un lecteur pirate à quelques dizaines d’euros suffit au dupliquer.
A lire en complément : 10 idées de peinture pour citrouille afin de réussir votre décoration d'Halloween
Les badges MIFARE Classic, largement déployés en France, utilisent le chiffrement Crypto-1. Ce protocole a été cassé publiquement, ce qui rend ces badges vulnérables aux attaques par relay ou par force brute sur la clé sectorielle. Nous recommandons de les considérer comme un niveau de sécurité intermédiaire, acceptable pour des zones à faible enjeu.
MIFARE DESFire EV2 ou EV3 avec chiffrement AES 128 bits constitue aujourd’hui le standard pour les sites sensibles. La communication entre le badge et le lecteur de proximité est chiffrée de bout en bout, avec authentification mutuelle. Chaque transaction génère une clé de session unique, ce qui neutralise les attaques par écoute passive.
A lire en complément : Comment le montant de votre loyer influence réellement votre taux d'endettement
L’architecture du système compte autant que le badge lui-même. Quand le badge de contrôle d’accès est associé à un contrôleur embarquant une table de droits locale et synchronisée avec un serveur central, la décision d’ouverture reste fonctionnelle même en cas de coupure réseau. Ce mode hybride (décision locale, administration centralisée) évite le point de défaillance unique.
Convergence badge physique et identifiants IT : le modèle PIAM
La tendance la plus structurante dans le secteur du contrôle d’accès n’est pas le changement de support, mais l’unification de l’identité physique et logique. Le modèle PIAM (Physical Identity and Access Management) fusionne le badge d’entrée dans le bâtiment et les identifiants informatiques (session poste de travail, VPN, applications métier) en un seul référentiel.
L’intérêt pour la sécurité est direct : un collaborateur dont le contrat est résilié voit ses droits d’accès physiques et numériques révoqués simultanément. Sans convergence, le délai entre la désactivation du compte IT et le retrait du badge laisse une fenêtre d’exposition que nous observons régulièrement lors d’audits.
Pour l’entreprise, ce modèle simplifie la gestion des habilitations. Un seul workflow provisionne ou déprovisionne l’ensemble des accès. Cela réduit aussi la surface de non-conformité RGPD, puisque la traçabilité des données d’identification est centralisée dans un système unique au lieu d’être dispersée entre le logiciel de contrôle d’accès et l’annuaire Active Directory.
Badge dématérialisé sur smartphone : migration vers les mobile credentials
Depuis quelques années, la bascule vers les identifiants mobiles s’accélère. Le badge est remplacé par un credential stocké dans le secure element ou le TEE (Trusted Execution Environment) du smartphone. La communication avec le lecteur passe par NFC ou BLE (Bluetooth Low Energy).
Le credential mobile supprime le risque de clonage physique du badge. Le secret cryptographique n’est jamais exposé : c’est le smartphone qui exécute la preuve de possession via un challenge-response, sans transmettre l’identifiant en clair.
Trois conditions techniques doivent être réunies pour un déploiement fiable :
- Un lecteur de proximité compatible NFC et BLE, avec firmware à jour pour gérer les protocoles OSDP v2 (chiffrement du canal lecteur-contrôleur)
- Une plateforme cloud ou on-premise capable de provisionner et révoquer les credentials à distance, en temps réel
- Une politique de gestion des appareils mobiles (MDM) qui garantit que seul un smartphone conforme (OS à jour, pas de root/jailbreak) peut recevoir un credential
Le BLE offre un avantage opérationnel : l’ouverture mains libres à distance, utile dans les parkings ou les zones de livraison. En revanche, la portée plus large du Bluetooth impose un paramétrage fin du seuil RSSI pour éviter les ouvertures involontaires quand un porteur passe à proximité sans intention d’entrer.
Impact de NIS2 et du Cyber Resilience Act sur les systèmes de contrôle d’accès
L’entrée en vigueur de la directive NIS2 et du Cyber Resilience Act modifie les exigences pour les entreprises qui exploitent des systèmes de contrôle d’accès connectés. NIS2 élargit le périmètre des entités concernées et impose une gestion des risques couvrant explicitement la sécurité physique lorsque celle-ci interagit avec le système d’information.
Concrètement, un contrôleur d’accès relié au réseau IP de l’entreprise entre dans le scope de la politique de cybersécurité. Les mises à jour firmware, le durcissement des ports réseau et la segmentation VLAN du sous-réseau de sûreté deviennent des obligations documentées, plus seulement des bonnes pratiques.
Le Cyber Resilience Act vise quant à lui les fabricants de produits comportant des éléments numériques. Les lecteurs de badges, contrôleurs et logiciels de supervision devront intégrer la sécurité dès la conception (security by design) et fournir des mises à jour de sécurité pendant toute la durée de vie attendue du produit. Pour les installateurs et exploitants, cela signifie qu’il faut exiger contractuellement un engagement de suivi logiciel auprès du fournisseur.
Critères de choix d’un système de badges pour un site multi-accès
Nous recommandons de structurer le cahier des charges autour de quatre axes techniques :
- Niveau de chiffrement minimal : AES 128 bits pour les zones sensibles, diversification des clés par site pour empêcher qu’un badge cloné sur un site fonctionne sur un autre
- Capacité du contrôleur à fonctionner en mode dégradé (hors réseau) avec une table de droits locale synchronisée
- Compatibilité avec les mobile credentials pour anticiper la migration progressive des badges physiques
- Interopérabilité OSDP v2 entre lecteurs et contrôleurs, quel que soit le fabricant, afin d’éviter le verrouillage propriétaire
Le dimensionnement du système de gestion des identités reste le facteur le plus sous-estimé. Un site de plusieurs centaines de collaborateurs avec des prestataires et visiteurs réguliers génère un volume de provisionnement et de déprovision qui, sans automatisation, crée des failles d’habilitation en quelques semaines.
Le choix du support (badge DESFire, smartphone ou les deux en cohabitation) dépend du profil des utilisateurs et du parc existant. La cohabitation badge physique et credential mobile est la configuration la plus courante en phase de transition, à condition que le lecteur gère les deux protocoles sans dégradation du niveau de sécurité.