Sécurité du passeport RFID

Date : 07 Mai 2007

Les premiers passeports RFID (passeports électroniques) ont été diffusés en France il y a un an (le 13 avril 2006), mais cette technique soulève de nombreuses polémiques, d'une part du fait des possibilités d'atteinte à la vie personnelle, et d'autre par la fiabilité (sécurité) de la solution technique. Nous présentons donc un point technique sur ce sujet.

Nota : les principes de la RFID (indépendamment de son application aux passeports) ont déjà été présentés dans un article précédent du Cert-IST.

Principes du passeport RFID

Le passeport RFID est identique au passeport conventionnel, mais il contient en plus, inséré à l'intérieur d'une de ses pages, une puce RFID. On reconnaît un passeport RFID parce qu'un logo graphique spécifique est présent sur la page de couverture (cf. [1]). 

Dans sa version actuelle cette puce RFID contient les informations générales sur l'identité du porteur (nom, prénom, etc…), ainsi qu'une photo d'identité numérisée (image JPEG). Il est prévu qu'en 2009 il soit ajouté aussi une copie numérique des empreintes digitales du porteur. Le fonctionnement de cette puce (ainsi que celui de tous les passeports émis par les différents pays du monde) est compatible avec les spécifications définies par l'Organisation de l'Aviation Civile Internationale (OACI). Ces spécifications (cf. [2]) prévoient que la puce puisse également stocker une empreinte de l'iris de l'œil.

Dans sa version actuelle, la photo est donc la seule donnée "biométrique" incluse dans  le passeport. Le Ministère de l'Intérieur utilise d'ailleurs pour désigner cette première génération de passeports RFID le terme de "passeport électronique" (plutôt que "biométrique").

De notre point de vue, cette première génération ne change pas vraiment les aspects suivants :

  • Le risque de "traçage" des voyageurs. Le passeport électronique semble faciliter l'enregistrement systématique  de tous les voyageurs (puisque le passeport est informatisé), et donc son "suivi". Mais en fait, ce risque existe déjà avec le passeport traditionnel, car celui-ci est équipé depuis plusieurs années d'une zone "lisible par une machine" : la MRZ ("Machine Readable Zone"). La MRZ est une zone présente en bas de la page "identité" du passeport, qui est lisible lorsque l'on passe le passeport dans un lecteur optique, et qui permet de transmettre à un ordinateur les informations d'identité du porteur.
  • L'efficacité des contrôles. Tant que les postes de contrôle ne sont pas équipés de systèmes de reconnaissance faciale (qui permettrait de vérifier que la photo stockée dans le passeport correspond bien à la personne contrôlée), le passeport RFID n'aide pas à vérifier l'identité du porteur.

Principaux mécanismes de protection

Tout d'abord le passeport électronique est difficile à falsifier car les informations stockées sur la puce RFID sont signées numériquement. Chaque pays émetteur dispose d'une Autorité de Certification racine (AC). Il est donc possible de vérifier que la signature du passeport est valide et a été apposée par une entité approuvée par l'autorité du pays émetteur.

Les données stockées sur la puce RFID sont protégées par un mécanisme de sécurité appelé le BAC ("Basic Access Control"). Le principe du BAC est que la puce RFID n'accepte de transmettre les données qu'elle contient qu'à un lecteur RFID qui est capable de lui donner une clé secrète. Cette clé est calculée par le lecteur RFID au moyen des informations lues sur le passeport via la "MRZ". Pour lire le contenu de la puce RFID, il faut donc tout d'abord ouvrir le passeport et placer la MRZ devant un lecteur optique. Cette procédure "garantie", en principe, que le contenu de la puce ne peut pas être lu à l'insu du propriétaire du passeport.

Nota : il a été proposé en  août 2006 un mécanisme de protection renforcé (EAC : "Extended Access Control") qui remplace la BAC pour protéger les données biométriques les plus sensibles (empreintes digitales par exemple). Ce mécanisme EAC n'est cependant pas inclus aux spécifications de l'ICAO et n'a pas été adopté par tous les pays du monde. Son usage ne pourra donc pas être généralisé.

Problèmes identifiés

Un passeport RFID peut être détecté à distance.

S'il n'est pas possible de lire le contenu de la puce RFID sans avoir accès aux informations  de la MRZ, il est par contre toujours possible de détecter à distance si quelqu'un porte sur lui un passeport RFID. Il est probablement aussi possible de reconnaître le type de passeport (la nationalité du porteur) en fonction du type de puce RFID et de sa façon de répondre aux sollicitations. Théoriquement, la puce RFID d'un passeport n'est interrogeable qu'à une dizaine de centimètres. Cependant, en amplifiant le lecteur, certaine sources indiquent que cette distance pourrait être portée à plusieurs mètres. Ainsi, il pourrait être possible de réaliser des attentats où une bombe se déclencherait à l'approche d'une victime portant un passeport d'une nationalité donnée.

L'algorithme BAC peut être cassé par "force brute"

La protection BAC  est connue pour être insuffisamment robuste. Il peut donc être possible de lire illégalement le contenu de la puce RFID sans avoir lu les données MRZ. En particulier, si l'on devine certaines des données MRZ (par exemple le nom du porteur, sa date de naissance, etc…), il devient possible de réaliser des attaques par "force brute" en essayant toutes les valeurs possibles de la MRZ. Cette attaque a été largement commentée en mars 2007 suite à un article sur ce sujet dans le journal anglais "The Daily Mail" (cf. [4]). La dangerosité de ce type d'attaque doit cependant être relativisée puisqu'il a fallu plusieurs heures aux attaquants pour réaliser l'attaque par force brute.

Un passeport peut être cloné

Plusieurs sources ont indiqué qu'elles pouvaient facilement cloner la puce RFID d'un passeport. Le principe du clonage est simple. Il suffit "d'emprunter" le passeport, de lire le contenu de la puce RFID après avoir pris connaissance du MRZ, puis d'inscrire les données lues sur une seconde puce RFID (le clone). Il n'est cependant  pas possible de modifier les données qui seront inscrites sur le clone, car la signature électronique de la puce deviendrait alors invalide.

Cette possibilité de cloner la puce n'a jamais été formellement démentie. Il est cependant étonnant que cette attaque soit possible. En effet, il suffirait que la puce RFID porte un numéro de série, et que ce numéro soit inclus dans les données scellées au moyen de la signature électronique, pour que l'attaque ne soit plus possible (la puce clone ayant un numéro de série différent de la puce d'origine).

Recommandation

Le passeport électronique suscite de nombreuses inquiétudes et a été dénoncé comme dangereux par plusieurs organismes (comme par exemple le FIDIS,  au travers de la "Déclaration de Budapest" – cf. [3]).

Afin de limiter la possibilité d'une lecture à distance du passeport, certains états ont inséré dans une des pages de la couverture du passeport une trame métallique qui empêche la lecture si le passeport n'est pas ouvert (la trame métallique fait écran et empêche la lecture).  C'est le cas du passeport américain, mais cette protection n'est pas généralisée (par exemple le passeport anglais ne bénéficie pas de cette protection). Afin de généraliser cette protection, il est recommandé d'insérer son passeport RFID dans une enveloppe de protection spécifique (enveloppe contenant des tramages métalliques).
 
Pour plus d'information :

Précedent Précedent Suivant Suivant Imprimer Imprimer

© 2024 Cert-IST