La sécurité dans la carte à puce

On peut voir une carte à puce comme un coffre-fort numérique : les données que vous enfermez dedans ne sont accessibles que si vous possédez la clé. La sécurité déployée autour de la carte à puce est l'une des plus exigeantes, aussi bien la protection physique des données que la sécurité logique du Système d'Exploitation.

Vous êtes sûrement au courant des fraudes aux cartes bancaires. Et alors ? Cela voudrait-il dire que la carte à puce n'est pas sécurisée ? Rassurez-vous, dans le cadre de la fabrication de carte clonée dans votre dos, la puce n'est jamais utilisée. Il s'agit de fraudes exploitant la bande magnétique, cette bande magnétique étant conservée pour une question de compatibilité avec le reste du monde. Il y a d'ailleurs 20 fois plus de fraudes dans le reste du monde qu'en France. Ce qui a enfin conduit d'autres pays à s'intéresser à cette technologie.

Comment ça marche ?

Notre carte à puce va nous servir de coffre-fort pour y placer notre biclé de chiffrement. Les services offerts par la carte nous permettent d'effectuer les opérations de chiffrement et de déchiffrement dans la carte, de générer une biclé, et même de générer des clés aléatoires. Les plus évoluées permettent de chiffrer les données dans la carte directement. Ainsi, aucune donnée secrète ne sort jamais de la carte !

La sécurité d'accès peut être assurée de plusieurs manières : PKI ou code PIN. Dans le cadre d'une utilisation individuelle, le code PIN semble être la meilleure solution.

De quoi a-t-on besoin ?

Nous avons besoin :

  • d'un lecteur de carte à puce avec clavier incorporé
  • d'un jeu de carte à puce. 3 cartes semblent être un minimum pour commencer.
  • d'une API d'accès à la carte. Celle-ci est livrée avec la carte et/ou disponible sur le site du constructeur.

Il existe aussi des Token USB avec puce intégrée. CesToken offrent les même fonctionnalités, mais la saisie du code PIN se fait hors du périmètre de confiance que constitue le lecteur de carte à puce. Impensable quand on est parano...

Lecteur de cartes à puce

par exemple :

Omnikey - 3621 Trust

SCM Microsystems

Cartes à puce

par exemple :

GPK16000 de Gemplus 20€ H.T. l'unité, vendues en lot de 5, soit 129,41€ TTC port compris.

Cryptoflex 32K d'Axalto $21 H.T. l'unité.

Il en existe bien d'autres, on pourra consulter le site du Movement for the Use of SmartCards in Linux Environment pour une liste plus détaillée.