L’essentiel
Pour construire une feuille de route de sécurité HF compatible avec le parc. La génération la plus récente n’est pas automatiquement lisible par un ancien parc.
Trois points à établir avant de conclure :
- fonctions réellement utilisées par génération
- commandes reconnues par chaque lecteur
- rotation des clés et retour arrière du pilote
Construisez une matrice des fonctions réellement utilisées, pas une liste de nouveautés. Pour chaque génération, vérifiez les commandes reconnues par les lecteurs, la configuration des clés et la personnalisation disponible. Une carte plus récente peut fonctionner en mode compatible, mais une fonction EV3 activée ne sera pas comprise par une infrastructure qui ne connaît que l’ancien jeu de commandes.
Ce que chaque génération a ajouté
La première des trois générations comparées a introduit l’AES à côté du 3DES, l’identifiant aléatoire et l’encapsulation des commandes au format ISO/IEC 7816-4. La deuxième a ajouté plusieurs jeux de clés par application, pour changer de clés sans rappeler les cartes, un code d’authentification de transaction qui permet au système central de vérifier une opération réalisée hors ligne, la délégation de la gestion d’applications à un tiers et un contrôle de proximité contre les attaques par relais.
La plus récente conserve ces fonctions et ajoute un message dynamique sécurisé : à chaque lecture par un téléphone, la carte insère dans une URL NDEF une valeur chiffrée et un compteur que le serveur vérifie. Elle apporte aussi une temporisation qui borne la durée d’une transaction.
Compatibilité réelle avec un parc de lecteurs
Une carte récente répond aux commandes des générations précédentes tant que ses nouvelles fonctions restent inactives. Un lecteur ancien lit donc une carte de la dernière génération personnalisée comme une carte de la première. Dès qu’une application utilise un jeu de clés secondaire ou exige le code de transaction, tous les lecteurs doivent comprendre ces commandes. Faites relire par chaque modèle de lecteur installé une carte personnalisée dans la configuration visée, pas seulement une carte vierge.
Le contrôle de proximité demande un essai à part, car il mesure le temps de réponse de la carte. Lorsque le lecteur est transparent et que les calculs cryptographiques se font dans le contrôleur, la latence de la liaison peut le faire échouer sur une carte parfaitement valide. Testez-le dans la configuration de câblage réelle.
La génération vue depuis l’atelier
Toutes les générations se montent dans les mêmes corps de carte, porte-clés et bracelets ; l’antenne est dimensionnée pour le format, pas pour la génération. Ce qui change en fabrication, c’est la personnalisation : une carte de la deuxième génération ou de la plus récente peut recevoir dès l’atelier son jeu de clés de remplacement, prêt à être activé plus tard. Pour un parc mixte, nous pouvons faire figurer la génération dans la numérotation ou l’impression du verso, afin que l’exploitation distingue les lots sans lecteur.
Sources primaires
Documentation fabricant sur l’interface, la mémoire, les fichiers et les fonctions de la génération EV3.
ISO · source primaire ↗ISO/IEC 14443 — contactless proximity objectsCatalogue officiel des parties consacrées aux objets de proximité sans contact.
Marques. MIFARE et DESFire sont des marques déposées de NXP B.V.
Ces noms servent uniquement à identifier les composants étudiés. Aucune affiliation, licence ni approbation de NXP n’est revendiquée.
À lire ensuite
01 / COMPARATIFEM4100 ou T5577, badge 125 kHz en lecture seule ou réinscriptible
Lecture seule et configuration réinscriptible répondent à des usages et risques différents.
02 / COMPARATIFCalypso ou CIPURSE, deux standards ouverts face à face
Deux écosystèmes ouverts à examiner selon infrastructure, sécurité et gouvernance.
03 / PRODUITCartes RFID 13,56 MHz personnalisées
Une famille HF large : la fréquence seule ne suffit jamais à confirmer l’interopérabilité.
Questions fréquentes
Une carte de la dernière génération fonctionne-t-elle avec des lecteurs anciens ?
Oui, à condition d’être personnalisée sans les fonctions que ces lecteurs ignorent. Elle répond alors au jeu de commandes de la première génération, avec les mêmes clés et la même structure d’application. Le test doit porter sur une carte personnalisée, lue sur chaque modèle de lecteur du parc.
À quoi sert le message dynamique sécurisé de la génération la plus récente ?
Il permet à un simple téléphone, sans application dédiée, de lire une URL qui change à chaque lecture. Le serveur vérifie la valeur chiffrée et le compteur contenus dans l’URL, et détecte ainsi un lien recopié. Cette fonction sert à authentifier un objet ou un document, pas à remplacer le contrôle d’accès.
Peut-on changer les clés d’un parc sans rappeler les cartes ?
Avec plusieurs jeux de clés par application, disponibles depuis la deuxième génération, oui : le jeu de remplacement est chargé dès la personnalisation et activé plus tard par le système. Sur une carte de la première génération, chaque carte doit recevoir la commande de changement de clé, avec l’ancienne clé, lors d’un passage sur un lecteur capable de l’écrire.