Pourquoi la carte de proximité traditionnelle est un risque de sécurité, et comment choisir entre carte, PIN ou biométrie faciale selon le type de site.
La carte de proximité blanche que votre entreprise utilise depuis dix ans peut être clonée en moins de cinq secondes avec un appareil qui coûte moins de 20 euros. Pas besoin d'être un hacker professionnel : il existe des lecteurs-copieurs en vente libre conçus précisément pour cela, et une bonne partie du parc de contrôle d'accès installé dans les bureaux, entrepôts et copropriétés d'Alicante et de Murcie utilise encore une technologie que ce type d'appareil peut lire.
Chez DDR360, nous installons des systèmes de contrôle d'accès Hikvision depuis Torrevieja pour toute la province d'Alicante et la Région de Murcie. Dans cet article, nous expliquons, avec le niveau de détail technique qu'il mérite, pourquoi les cartes classiques sont vulnérables, ce que change réellement le chiffrement DESFire, et comment choisir entre carte, PIN ou biométrie faciale selon le type de site à protéger.
La plupart des cartes d'accès installées en Espagne au cours des vingt dernières années utilisent la technologie RFID basse ou haute fréquence avec des puces telles que l'EM4100 ou le MIFARE Classic. Le problème de fond n'est pas la radiofréquence en elle-même, mais le fait que ces puces ont été conçues il y a plus de deux décennies, avec un niveau de sécurité devenu techniquement obsolète.
Le cas le plus connu est MIFARE Classic, qui utilise un algorithme de chiffrement propriétaire appelé Crypto1. En 2008, des chercheurs en sécurité ont publié des attaques pratiques qui cassent ce chiffrement en quelques minutes, et depuis lors il existe des outils matériels (le plus connu est le Proxmark, mais il existe des copieurs bien moins chers et plus simples d'utilisation) capables de lire le contenu de la carte à distance, de calculer les clés internes et d'enregistrer un duplicata exact sur une carte vierge. Le processus complet, avec le bon équipement, se fait en quelques secondes sans que le propriétaire de la carte originale ne s'en aperçoive : il suffit de s'approcher suffisamment, par exemple en passant à côté de quelqu'un dans un café.
À cela s'ajoute un problème de gestion, pas seulement technique : quand le clonage est aussi simple, le registre des accès cesse d'être fiable. Si deux cartes identiques peuvent ouvrir la même porte, le registre « qui est entré et à quelle heure » ne permet plus de savoir avec certitude s'il s'agissait de l'employé légitime ou de quelqu'un muni d'une copie. Pour une entreprise qui doit pouvoir prouver le contrôle d'accès aux zones sensibles (salle serveurs, entrepôt de marchandises de valeur, archives de données clients), cette perte de traçabilité est aussi grave que l'intrusion physique elle-même.
La réponse technique à ce problème est MIFARE DESFire avec chiffrement AES128, le même standard de chiffrement qui protège les cartes bancaires à puce EMV et une grande partie des communications bancaires en ligne. La différence avec le Crypto1 des cartes classiques n'est pas une question de degré, c'est une génération technologique entière d'écart.
L'AES (Advanced Encryption Standard) à clé de 128 bits est un algorithme public, revu pendant des années par toute la communauté cryptographique mondiale, et à ce jour aucune attaque pratique connue n'est capable de le casser dans un temps raisonnable avec le matériel disponible dans le commerce. Chaque carte DESFire, de plus, peut être configurée avec une une clé maîtresse unique par installation : même si quelqu'un parvenait à compromettre le système d'une autre entreprise, cette clé ne sert à rien pour le vôtre. Les lecteurs-copieurs à 20 euros qui clonent une carte MIFARE Classic en quelques secondes n'ont tout simplement pas la puissance de calcul ni l'accès à la clé cryptographique nécessaire pour reproduire un badge DESFire correctement configuré.
En pratique, remplacer un parc de cartes anciennes par des badges DESFire n'est pas un caprice de sur-ingénierie : c'est fermer la porte d'entrée la moins chère et la plus utilisée par quiconque veut accéder à des locaux sans autorisation.
Il n'existe pas de méthode d'accès universellement meilleure, il existe la méthode adaptée à chaque situation. Voici les avantages et limites réels de chacune :
| Méthode | Avantages | Limites |
|---|---|---|
| Carte DESFire | Rapide, aucun contact physique avec le lecteur, facile à révoquer en cas de perte, fonctionne avec des gants | Peut être oubliée à la maison ou prêtée volontairement à un collègue |
| PIN / clavier | Rien à transporter, utile comme second facteur combiné à une carte | Le code peut être partagé ou observé par-dessus l'épaule (shoulder surfing) |
| Biométrie faciale | Impossible à prêter ou à partager, lecture en 0,2 seconde, impossible à oublier ou à perdre | Nécessite un lecteur par point d'accès, coût initial plus élevé qu'une carte |
L'avantage différenciant de la la biométrie faciale par rapport à la carte et au PIN n'est pas seulement la rapidité : elle résout le seul problème qu'aucune des deux autres méthodes ne peut résoudre par conception, à savoir qu'un employé pointe ou ouvre la porte à quelqu'un d'autre en son nom. Même la carte la plus sécurisée du marché n'empêche pas son titulaire de la prêter à un collègue en retard ; un visage ne se prête pas. C'est pourquoi, dans les zones les plus sensibles (salles serveurs, accès du personnel de nuit, contrôle horaire), de nombreuses entreprises combinent une carte DESFire au quotidien avec un lecteur facial aux points critiques.
La conception d'un système de contrôle d'accès varie beaucoup selon le type d'installation. Voici les schémas les plus courants que nous observons à Alicante et à Murcie :
Bureaux. Le cas le plus courant : carte DESFire pour l'entrée générale et les zones communes, avec la biométrie faciale réservée à la salle serveurs ou au bureau de la direction. La gestion centralisée permet d'enregistrer un nouvel employé sur toutes les portes à la fois en quelques secondes, et de révoquer son accès instantanément le jour où il quitte l'entreprise, sans avoir à récupérer physiquement une clé.
Bâtiments industriels et entrepôts. Sur les zones industrielles de la région (par exemple autour d'Elche, San Vicente del Raspeig ou Carthagène), le défi est généralement différent : il ne s'agit pas seulement de contrôler qui entre dans le bâtiment, mais de gérer le trafic des camions de fournisseurs et de transporteurs. C'est là qu'intervient la lecture automatique de plaque : la barrière s'ouvre toute seule dès qu'elle reconnaît un véhicule autorisé sur la liste, sans que le conducteur ait à descendre du camion ni qu'un agent soit posté physiquement à la guérite. Pour le personnel à pied, les tourniquets à carte DESFire empêchent une personne non autorisée de se faufiler en profitant du mouvement des marchandises.
Communautés de copropriétaires. C'est un cas d'usage particulièrement pertinent sur la Costa Blanca et la Costa Cálida, où abondent les résidences et copropriétés à forte rotation de propriétaires (résidents saisonniers, locations de vacances) et, souvent, une barrière d'accès véhicule à l'entrée. La lecture de plaque permet aux propriétaires d'entrer en voiture sans télécommande ni carte, tandis que des codes QR ou accès temporaires peuvent être générés pour le jardinage, le nettoyage de piscine ou l'entretien, valables uniquement le jour et sur la plage horaire convenus. Cela résout un problème courant dans les copropriétés où la présidence change chaque année : personne n'a à se déplacer physiquement pour récupérer ou remettre des télécommandes lors d'un changement de prestataire.
Tout cela (cartes DESFire, lecteurs faciaux, barrières à lecture de plaque) a besoin d'un cerveau pour le coordonner, et c'est là qu'intervient HikCentral, la plateforme de gestion centralisée de Hikvision. Depuis une seule console, accessible via le web ou une application mobile, le responsable de l'installation peut ajouter ou supprimer des utilisateurs sur toutes les portes simultanément, définir des horaires d'accès différents par personne ou par groupe (par exemple, que le personnel de nettoyage ne puisse entrer que de 7h à 9h), et consulter l'historique complet des accès avec date, heure et point exact.
La fonctionnalité que nos clients apprécient le plus au quotidien est la révocation d'accès en un clic depuis le mobile. Quand un employé quitte l'entreprise, pas besoin de changer les serrures ni de récupérer les clés : son badge est désactivé depuis le téléphone et, à cet instant précis, il perd l'accès à toutes les portes du système. Et si une carte est perdue, la procédure est identique : ce badge précis est annulé sans affecter les autres, chose impensable avec une clé physique partagée par tout un immeuble.
Peut-on combiner le nouveau système avec les portes et serrures que j'ai déjà ?
Dans la plupart des cas, oui. Les lecteurs DESFire et faciaux s'intègrent sur la serrure électrique ou le tourniquet existant ; il n'est nécessaire de remplacer toute la serrure que lorsqu'elle est purement mécanique et sans ouverture électrique.
Que se passe-t-il en cas de coupure de courant ou de connexion internet ?
Les contrôleurs de porte stockent localement les badges autorisés et continuent de fonctionner de façon autonome même en cas de perte de la connexion internet ; ce qui est temporairement perdu, c'est la gestion à distance et la synchronisation de l'historique, qui reprennent automatiquement dès le retour de la connexion.
La biométrie faciale conserve-t-elle une photo identifiable de chaque personne ?
Pas au sens traditionnel. Le système extrait et stocke un gabarit mathématique (un ensemble de points de repère faciaux) qui ne permet pas de reconstituer une photographie, selon le même principe utilisé par les autres systèmes biométriques du marché pour protéger la confidentialité des données.
Combien de temps dure l'installation dans un bureau ou un entrepôt déjà construit ?
Cela dépend du nombre de portes et du fait qu'il faille tirer un nouveau câblage ou réutiliser l'infrastructure existante. Dans la plupart des installations de taille moyenne, le travail est terminé en une ou deux journées, configuration de HikCentral et formation du personnel comprises.
Puis-je définir différents niveaux de permission pour différents employés ?
Oui. HikCentral permet de créer autant de profils d'accès que nécessaire : par exemple, que l'administration accède à toutes les zones aux heures de bureau, que le personnel de production n'accède qu'à l'entrepôt, et que le service de nettoyage ait un accès limité à une plage horaire précise.
Nous analysons votre système d'accès actuel, vous expliquons clairement les risques réels et vous proposons une solution sur mesure. Sans engagement.
Demander un audit →Plus d'informations : Contrôle d'accès DDR360 · Vidéosurveillance IA · Couverture Alicante et Murcie · Audit gratuit