Standardisation : les réseaux défient le contrôle d'accès

Dans un monde où l'entreprise veut contrôler toutes ses informations sur le réseau Ethernet et valoriser ses données en interconnectant ses applications, le contrôle d'accès ''en silo'' voit ses jours comptés.

A l’instar de la Gestion technique du bâtiment (GTB), les Electronic Access Control Systems (en français, Systèmes électroniques de contrôle d’accès – EACS) sont devenus de véritables systèmes d’information à part entière. « La tendance, c’est d’en augmenter les capacités. Il y a vingt ans, un grand système comportait jusqu’à 100 lecteurs de badges. Aujourd’hui, il peut y en avoir entre 1 000 et 2 000, par exemple, dans une tour à Paris-La-Défense », indique Claude Poasevara, directeur technique d’Alcea, qui développe et construit des EACS. Munis parfois de capteurs biométriques, presque toujours de badges magnétiques ou Radio Frequency Identification (RFID), de lecteurs de badges, d’automates de sécurité, de réseaux informatiques et de logiciels superviseurs, les EACS s’apprêtent à relever une foule de défis. Ayant été massivement innervés par des réseaux informatiques propriétaires, ils doivent, sous la pression des directeurs des systèmes d’information (DSI), se déployer à présent sur le réseau bureautique de l’entreprise. Intérêt : mutualiser les infrastructures informationnelles d’une organisation afin de baisser les coûts d’exploitation et de maintenance de son système d’information (SI). Et de profiter de synergies avec d’autres pans du SI, comme les RH, la GTB ou l’informatique décisionnelle.

Besoin de standardiser les communications

Dans ce sillage, l’enjeu consiste principalement à rendre interopérables les composants de marques différentes de sorte à les faire dialoguer au sein d’un même EACS. En clair, la standardisation en contrôle d’accès vise surtout à s’affranchir des verrous techniques et commerciaux qui piègent les organisations utilisatrices dans des systèmes propriétaires. D’autant que se profilent de nouveaux modes d’utilisation des EACS : sur smartphone et dans le Cloud (l’informatique « en nuage »). En tous cas, la tendance consiste clairement à se débarrasser des systèmes propriétaires. Au niveau des badges et des lecteurs, les badges RFID (avec les puces électroniques Mifare) et le protocole Wiegand ont ouvert la porte à un certain niveau d’interopérabilité », reconnaît Greg Nunez, responsable produits pour la gamme contrôle d’accès chez Samsung. « Mais cette interopérabilité reste limitée car les constructeurs tentent toujours de verrouiller le marché avec la couche logicielle embarquée dans les systèmes électroniques. » Pur rêve ou possible réalité à venir ?

La norme IEC 60839-11 en préparation

Cependant, une nouvelle norme est en préparation à l’International Electrotechnical Commission (IEC) sous la mention IEC 60839-11 dont la publication devrait intervenir en juin 2013. En attendant, de nombreux progrès ont été réalisés et la nouvelle norme aidera à unifier le travail déjà accompli. Au stade du draft (ébauche), le projet de norme commence par définir le périmètre, la terminologie, les abréviations relatifs aux EACS. « Jusqu’ici, c’était un peu la tour de Babel ! A présent, on sait de quoi on parle », précise Claude Poasevara. « Ensuite, le document rappelle les règles en matière de compatibilité électromagnétique (CEM), les règles environnementales (conditions de fonctionnement par rapport aux températures, à l’hygrométrie…). Ces règles sont plus proches des métiers. Notamment au niveau des tests de mise en service qui sont appelés à être définis. » Un point important car les EACS sont des installations cousues main à partir de produits industriels. Par ailleurs, la norme définit quatre classes de systèmes qui correspondent aux niveaux de protection des installations à contrôler en adéquation avec le risque encouru. Par exemple, le garage d’un particulier sera au plus bas niveau tandis qu’un centre de R&D, un site militaire ou nucléaire sera au plus haut niveau… « C’est ainsi qu’on définit les fonctionnalités et les performances des EACS », poursuit Claude Poasevara. « Nous ne sommes pas dans le comité français de l’IEC 60839-11. Mais, d’après ce que nous avons vu, il n’y a pas de révolution. En revanche, ces travaux ont le mérite de bien définir les termes et les tests techniques d’installation. La Security Industry Association (SIA) va plus loin car elle vise à définir avec les entreprises la mise en place de protocoles ouverts allant de l’identifiant jusqu’aux interfaces. »

Le spectre du scénario de l’Ethernet industriel

Quel sera l’impact de l’IEC 60839-11 ? Difficile à prédire. Néanmoins, l’Ethernet IP (Industrial Protocol), qui remplace peu à peu les bus de terrain dans les ateliers industriels, en donne une idée. Les couches physiques 1 et 2 modèle OSI (Open Systems Interconnection : interconnexion de systèmes ouverts) de l’ISO (International Organization for Standardization) sont ouvertes. « Mais les constructeurs ont rajouté des couches  »propriétaires » au niveau des couches de réseau, transport, session, présentation et application », décrit Jérôme Poncharal, responsable marketing des solutions d’automatisme chez Rockwell Automation. Résultat, le marché compte une trentaine de versions propriétaires, dont une demi-douzaine se taille la part du lion. Certains gardent leur technologie en « boîte noire » comme Siemens avec ProfiNet/IP, Beckhoff Automation avec EtherCAT ou encore Mitsubishi avec CC-Link. D’autres la « libèrent » comme le consortium Open DeviceNet Vendors Association (ODVA) qui regroupe, entre autres, Cisco, Omron, Rockwell Automation, Schneider Electric… autour d’EtherNet/IP. Ou encore Ethernet Powerlink Standardization Group (EPSG) avec le standard Powerlink initié par B&R Automation. Ce qui s’est passé avec l’Ethernet industriel risque de se dérouler avec la norme IEC 60839-11 dans les dix ans à venir. La question mérite d’être posée car, à l’instar de l’industrie, les EACS ont tendance à remplacer leurs bus de terrain par de l’Ethernet.

Biométrie : problématique des données personnelles

D’ici là, la standardisation en contrôle d’accès est à l’œuvre, composant par composant. A commencer par les capteurs biométriques. Empreintes digitales, iris, ADN, réseaux veineux, contours de la main, voix, frappe du clavier… les systèmes de reconnaissance se multiplient et font l’objet d’intenses travaux de normalisation au niveau du sous-comité 37 du JTC 1 (Joint Technical Committee), un groupe technique commun à l’ISO (International Organization for Standardization) et à l’IEC. « Nous travaillons surtout sur la gestion des captures d’empreinte au niveau international (acquisition, format, architecture fonctionnelle, qualification et impact sociétal). Or, si la technique est plutôt développée (et fiable), l’enjeu se situe à un autre niveau : celui la gestion légale, donc sécurisée, des données personnelles. Ainsi, à ce jour, l’enjeu normatif repose essentiellement sur l’adéquation entre le besoin opérationnel d’interopérabilité des dispositifs biométriques, donc l’accès aux bases de données (par exemple entre sites d’une même entreprise ou pour le passage aux frontières) et l’obligation d’en maintenir l’intégrité – ce qui, d’ailleurs relève de la Commission informatique et libertés (CNIL) », explique Nicolas Scuto, chef de projet senior spécialisé dans la sécurité ainsi que dans les technologies de l’information et de la communication à l’Afnor. « On peut espérer, dans un avenir proche, des normes visant, par exemple, à déterminer les points de captures (minuties) lors de l’enrôlement ou encore à qualifier la performance des systèmes biométriques. »

Dans ce contexte, les normalisateurs s’interrogent aussi pour savoir, au niveaux des empreintes digitales, s’il faut acquérir un, deux ou dix doigts. « Il semblerait qu’on s’oriente vers un système de reconnaissance des dix doigts afin de limiter le taux d’échec à l’identification », reprend Nicolas Scuto. « En matière d’exploitation privée des systèmes de reconnaissance biométrique, il y a assez peu d’activité normative par crainte de la dispersion des données et du piratage informatique. On en reste, pour l’heure, aux autorisations uniques qui sont chronophages. Si la technique est à peu près acquise, les méthodes de traitement restent très contingentées à l’Etat. » Ce qui restreint le marché du contrôle d’accès biométrique en raison de la problématique de la gestion des données personnelles. « Pourtant, la force des systèmes de reconnaissance biométrique, c’est que l’on est quasiment certain d’identifier la bonne personne. Aujourd’hui, ces systèmes sont très sûrs mais manquent de rapidité », commente Greg Nunez. « Nous recommandons la reconnaissance d’empreintes digitales, en entreprise, car, dans certains cas, elle affranchit de la gestion des badges. Comme la puce électronique est très petite et d’une conception dédiée à l’application, elle est très sécurisée. Elle ne fait que ce qu’on lui demande de faire. »

Du badge au réseau

Ajoutons que, cependant, certains badges RFID sont capables d’embarquer un stockage des données biométriques. A condition que le badge embarque une puce intelligente et une puce RFID. « Ici, l’évolution est très nette : nous constatons que 99,9% des badges sont RFID sans contact », relève Sylvie Gauthier, responsable des ventes chez Honeywell Security Group. « La problématique porte sur les échanges entre le lecteur et la carte. Techniquement, c’est abouti », résume Nicolas Scuto qui identifie le groupe de travail SC 17 du JTC 1 ISO-IEC comme étant compétent en la matière. « Mais c’est le protocole de sécurité lui-même qui est encours de normalisation. En effet, il faut sécuriser les échanges entre une carte et son lecteur de sorte à ne pas se faire aspirer les données. Ce besoin est valable non seulement pour un badge de contrôle d’accès mais aussi pour une carte bancaire, un passeport ou un billet d’avion. » A cet égard, les badges RFID se fondent déjà sur la norme ISO 14443 de transmission avec ou sans contact. Respectant cette norme, la puce Mifare de NXP s’est imposée comme standard industriel de facto. Néanmoins, dans sa version  »classique », celle-ci a été craquée il y a quelques années. « Mais elle est encore largement utilisée. Même si le secteur évolue peu à peu vers le standard Mifare Desfire EV1 qui bénéficie d’un système avec des clés d’encryptage hyper sécurisées », précise Sylvie Gauthier. « On installe le logiciel sur un PC, on y connecte le lecteur RFID, on y insère un badge spécial pour programmer le lecteur et ensuite, on encrypte les badges utilisateurs. »

C’est donc l’entreprise, et non plus le seul prestataire de sécurité, qui commence ainsi à encrypter ses badges elle-même. Reste que cette pratique est encore rare : « 99% du parc installé n’apportent pas la sécurité voulue dans la communication badge/lecteur », estime Pierre-Antoine de Morel, directeur commercial chez STiD. « A ce sujet, nous travaillons sur un protocole sécurisé avec l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui donne les directives et les règlements relatifs au Référentiel général de sécurité (RGS) et collabore avec la Commission européenne. » La technologie devra également donner les moyens, par exemple avec la fourniture de numéro d’identification générés aléatoirement, de garantir au porteur de badge qu’il ne sera pas tracé à son insu. Comme le préconise le Privacy by Design (Prise en compte de la vie privée dès la conception), un concept qui conduit à réviser la directive européenne 95/46 relative à la protection des données personnelles.

L’exercice réglementaire européen, sa transposition dans les réglementations nationales et son entrée en vigueur seront délicats. En effet, sur le terrain, les EACS multiplient les opérations de tracing en s’interfaçant aux applications informatiques de l’entreprise de plus en plus au travers du réseau Ethernet. « Cet interfaçage offre la gestion synchronisée et interopérable du contrôle d’accès avec les RH : lorsque la personne badge, le système agit comme un horodateur dont les données entreront dans le calcul de la paie. Dans le même esprit, le badge peut servir à régler les consommations à la machine à café ou au restaurant d’entreprise. Ceci est rendu possible grâce à la technologie Desfire EV1 qui bénéficie de mémoires compartimentées pour chaque application », décrit Sylvie Gauthier. Ce n’est pas tout : « Il y a une tendance à encourager les EACS mobiles (Wi-Fi, NFC…) car les systèmes câblés sont plus rigides et plus chers », rapporte Nicolas Scuto qui remarque que les officiers de l’immigration peuvent contrôler la validité du titre de transport ou votre identité n’importe où dans l’aéroport. « Les réseaux soulèvent une problématique majeure : la signature électronique ou plutôt la délivrance de certificats d’authentification pour accéder à un pan du SI. On parle alors de contrôle d’accès virtuel. » Une question que gèrent le CT 224 au Comité européen de normalisation (CEN), le European Telecommunications Standard Institute (ETSI) et le tout nouveau Cybersecurity Coordination Group. Lesquels auront du pain sur la planche, sachant que le smartphone risque de remplacer le badge du contrôle d’accès…

Smartphone : futur badge ?

« Le Smartphone intervient de plus en plus dans les applications de vidéosurveillance et d’alarme anti-intrusion. Pourquoi pas dans le contrôle d’accès ? » interroge Christophe Chambelin, directeur des marchés Fire Security & Safety chez Siemens Building Technologies. « Le couple personne/smartphone est beaucoup plus solide que le couple personne/badge. On dérobe ou emprunte plus facilement un badge qu’un smartphone. » D’autant que se développent les logiciels de MDM (Mobile Device Management) pour gérer la sécurité des parcs. En cas de perte ou de vol, le Responsable de la sécurité des systèmes d’information (RSSI) de l’entreprise peut, à distance, désactiver le smartphone et vider le contenu des données. « De grands constructeurs du contrôle d’accès s’y intéressent de près », poursuit Christophe Chambelin.

« Dans deux ans, le système commencera à se généraliser. »

© Erick Haehnsen / TCA-innov24.