Élément sécurisé

Un élément sécurisé (SE) est une plate-forme matérielle sécurisée capable de contenir des données en conformité avec les règles et les exigences de sécurité fixées par les autorités de confiance[1].

Introduction

Technologie NFC

La technologie NFC [Note 1] est une technologie de communication de proximité basée sur le standard de cartes à puce de proximité spécifiées dans l'ISO14443 [2], et est normalisée dans l'ISO18092 [3]. Elle fonctionne à 13,56 MHz et permet le transfert de données jusqu'à 424 kbit/s. Le NFC prend en charge trois modes de fonctionnement: lecture/écriture, pair-à-pair, et émulation de carte. Ce dernier mode consiste à permettre à un appareil compatible NFC, comme un téléphone mobile, d'émuler une carte à puce de proximité à un terminal de lecture. De plus, il faut savoir que les cartes à puce populaires sur le marché installent toutes des éléments sécurisés (SEs) en interne [4], afin d’éviter des attaques malveillantes et garder en sécurité les données stockées[5]. Cet élément sécurisé est uniquement utilisé en mode émulation de carte[6].

Élément sécurisé

Un élément sécurisé (SE) est une puce séparée qui contient un processeur sécurisé, un stockage inviolable et la mémoire d'exécution. Ce processeur est différent du processeur hôte ou du processeur de l'ordinateur. Son seul but est de permettre des transactions sécurisées. Cet élément sécurisé contient donc des applications qui s'appuient sur des clés sécurisées fonctionnant à l'intérieur de ce processeur sécurisé[7].

Un SE est donc une plate-forme matérielle inviolable, capable d'accueillir en toute sécurité des applications et stocker des données confidentielles chiffrées. Par exemple, dans le domaine de la finance, les SEs sont utilisés pour héberger des applications de cartes personnalisées et contiennent les clés cryptographiques nécessaires pour effectuer les transactions financières (EMV) [Note 2] à un terminal de point de vente. Les SEs sont aussi utilisés pour nous identifier, elles peuvent contenir des données biométriques ou des certificats pour la signature de document. Quel que soit le but, l'environnement sécurisé fourni par le SE protège les informations d'identification de l'utilisateur assurant ainsi la sécurité de ses données[8].

Différents facteurs de forme

Les appareils mobiles avec NFC ont un élément sécurisé (SE) qui est un microprocesseur sécurisé (une puce de carte à puce) qui comprend un processeur cryptographique pour faciliter la transaction avec authentification et sécurité, et fournit une mémoire sécurisée pour stocker les applications et les informations d'identification. Cet élément sécurisé existe sous différents facteurs de forme tels que l'élément sécurisé embarqué, la carte microSD ou encore sous forme de carte UICC[Note 3],[9]. Chacun de ces éléments sécurisés correspond à une implémentation différente et répond à un besoin du marché différent[1].

Processeur de bande de base

Offrant un niveau élevé de sécurité, l'élément sécurisé peut être hébergé par la mémoire sécurisée de la bande de base. Ainsi, l'architecture de l'appareil ne doit pas être modifié. Jusqu'à présent, la couche de protocole sous-jacente entre le contrôleur NFC et le processeur de bande de base est un protocole propriétaire et n'est pas encore normalisé[10].

Matériel embarqué

Dans le cas de matériel embarqué, la SE est une carte à puce soudée qui ne peut être retirée. Ainsi, le niveau de sécurité offert par le SE est aussi élevé que celui supporté par une carte à puce. Toutefois, la communication entre le contrôleur NFC et ce matériel dédié n'est pas encore normalisée, seuls les protocoles propriétaires peuvent être utilisées jusqu'à présent[10].

Carte mémoire sécurisée

Une carte mémoire sécurisé amovible (SMC [Note 4]) est constitué de mémoire, d'une carte à puce intégrée et d'un contrôleur de carte à puce. En d'autres termes, ce n'est qu'une combinaison d'une carte mémoire (par exemple: MMC [Note 5], SD[Note 6], etc.) et d'une carte à puce. La SMC offre le même niveau de sécurité qu'une carte à puce et est compatible avec la plupart des principaux standards, interfaces et environnement pour les cartes à puces. Elle a l'avantage d'être amovible, de pouvoir être insérée dans n'importe quel appareil supportant la technologie NFC et de posséder une grande capacité de mémoire. Toutefois, jusqu'à présent, la communication entre la SMC et le contrôleur NFC n'a pas encore été normalisé et donc seulement un petit nombre de telles puces est actuellement disponible[11].

UICC

UICC est également une carte à puce amovible. Initialement pensé pour remplacer la carte SIM, elle donne accès au GSM [Note 7] et au réseau UMTS[Note 8]. En tant que carte à puce, elle est compatible avec tous les standards de carte à puce. De même, elle possède le même niveau de sécurité qu'une carte à puce et peut stocker des applications multiples de différents fournisseurs. Elle possède des domaines de sécurité séparées pour chaque application ou pour chaque fournisseur d'application (en fonction de l'implémentation). Chaque domaine étant administré par le fournisseur de l'application et étant basé sur l'utilisation de clés secrètes. De plus, le système d'exploitation de la carte met en œuvre un pare-feu qui empêche les applications d'accéder ou de partager des données entre elles[12].

L'UICC peut héberger des applications GSM / UMTS, tels que la carte SIM[Note 9] et USIM[Note 10] ainsi que d'autres types d'application comme les applications de paiement, de billetterie, de passeport électronique, etc. En , l'Institut des normes de télécommunications européennes a approuvé le protocole SWP [Note 11] comme une norme définissant la couche physique ainsi que la liaison de données entre la carte UICC et contrôleur NFC. Puis en , ce premier standard a été complété par l'ETSI[Note 12] pour approuver la HCI[Note 13]. Cette dernière correspond à la couche applicative qui tourne au-dessus de la SWP. Elle définit des commandes spécifiques qui permettent à l'UICC et au contrôleur NFC de communiquer ensemble [11].

Synthèse des éléments sécurisés de la technologie NFC
Sécurité Réutilisabilité Standardisation
Processeur de bande de base + - -
Matériel embarqué ++ - +
SMC + ++ +
UICC ++ + ++

Les mobiles

Le mode émulation de carte est surtout utilisé pour les applications dont la sécurité est primordiale comme les applications de contrôles ou de paiement. À ce jour, seuls quelques lecteurs comme le ACR 122U, et certains téléphones mobiles avec la technologie NFC supportent l'émulation de carte. La majorité des appareils mobiles dotés de la technologie NFC utilisent donc des éléments sécurisés. Pour citer quelques exemples, le Nokia 6131 et le Nokia 6212 possèdent un élément sécurisé embarqué. Le Samsung GT-S5230N, ainsi que le Samsung Nexus S utilisent l'UICC[13].

Le fait de faire fonctionner un terminal mobile en mode émulation de carte offre de multiples usages possibles: paiement, billettique (exemple : Carte Navigo), couponing, contrôle d'accès. Le mobile vient donc enrichir considérablement les services basés sur des cartes. Par exemple, le mobile permet de payer et de recharger ses titres de transport à toute instant ou de recevoir l'ensemble de ses points de fidélité sur son mobile[14].

L'élément sécurisé dans un téléphone mobile NFC peut être accessible de deux façons: le mode externe ou le mode interne: Pour ce dernier, les différentes plates-formes de téléphonie mobile définissent différentes APIs [Note 14] et des restrictions d'accès[15].

Notes et références

Notes
  1. NFC pour Near Field Communication
  2. EMV pour Eurapay Mastercard Visa
  3. UICC pour Universal Integrated Circuit Card
  4. SMC pour Secure Memory Card
  5. MMC pour Multimedia Memory Card
  6. SD pour Secure Digital
  7. GSM pour Global System for Mobile Communications
  8. UMTS pour Universal Mobile Telecommunications System
  9. SIM pour Subscriber Identity Module
  10. USIM pour Universal Subscriber Identity Module
  11. SWP pour Single Wire Protocol
  12. ETSI pour European Telecommunications Standards Institute
  13. HCI pour Host Controller Interface
  14. API pour Application Programming Interface

Références
  1. GlobalPlatform 2015
  2. ISO/ICE 14443
  3. ISO/ICE 18092
  4. Pasquet 2009
  5. Shen 2014, p. 1
  6. Pasquet 2019, p. 1
  7. NFC Architecture
  8. Spoor 2014
  9. Sethia 2014, p. 2
  10. Reveilhac 2014, p. 2
  11. Reveilhac 2014, p. 3
  12. Pasquet 2009, p. 2
  13. Roland 2012, p. 19
  14. ORFIDEE 2010
  15. Roland 2012, p. 20

Bibliographie
  • (en) Jie SHEN et Yuchen YANG, « A Secure Element General Access Component for Mobile Payment », Information Society (i-Society), 2013 International Conference on,‎ , p. 27 - 34
  • (en) Pasquet, Marc, « Post-Distribution Provisioning and Personalization of a Payment Application on a UICC-Based Secure Element », Availability, Reliability and Security, 2009. ARES '09. International Conference on,‎ , p. 701 - 705 (ISBN 978-0-7695-3564-7, DOI 10.1109/ARES.2009.98)
  • (en) Reveilhac, M. et Pasquet, Marc, « Promising Secure Element Alternatives for NFC Technology », Near Field Communication, 2009. NFC '09. First International Workshop on,‎ , p. 75 - 80 (ISBN 978-0-7695-3577-7, DOI 10.1109/NFC.2009.14)
  • (en) Sethia, D., « NFC based secure mobile healthcare system », Communication Systems and Networks (COMSNETS), 2014 Sixth International Conference on,‎ , p. 1-6 (DOI 10.1109/COMSNETS.2014.6734919)
  • (en) Roland, M., Langer, J. et Scharinger, J., « Practical Attack Scenarios on Secure Element-Enabled Mobile Devices », Near Field Communication (NFC), 2012 4th International Workshop on,‎ , p. 19 - 24 (ISBN 978-1-4673-1209-7, DOI 10.1109/NFC.2012.10)
  • (en) Swaminathan, S., Rawat, S., Coogan,G. et Vanderhoof,R., « Mobile/NFC Security Fundamentals - Secure Elements 101 », Smart Card Alliance Webinar,‎ (lire en ligne)
  • (en) « ISO/IEC 14443: Identification cards – Contactless integrated circuit(s) cards – Proximity cards », ISO/IEC,‎ (lire en ligne)
  • (en) « ISO/IEC 18092: Information technology – Telecommunications and information exchange between systems – Near Field Communication – Interface and Protocol (NFCIP-1) », ISO/IEC,‎ (lire en ligne)

Voir aussi

Articles connexes

Liens externes
  • Portail de la sécurité de l’information
Cet article est issu de Wikipedia. Le texte est sous licence Creative Commons - Attribution - Partage dans les Mêmes. Des conditions supplémentaires peuvent s'appliquer aux fichiers multimédias.