L’identification par smartphone, « solution d’avenir » du contrôle d’accès

Par l’intermédiaire d’un mail, l’individu ayant besoin d’un accès sur site reçoit un lien renvoyant vers une application, la plateforme Tapkey dans ce cas précis. Une fois sur place, l’intéressé n’a plus qu’à se connecter à l’application et à passer son smartphone devant la serrure connectée afin de l’ouvrir et de disposer d’un droit d’entrée.

« C’est une technologie qui a plusieurs cibles, ajoute notre interlocuteur. Elle est essentiellement destinée à des PME ou à des entreprises ayant plusieurs accès à un bâtiment et des dizaines de salariés. Mais elle peut aussi être utilisée par des particuliers sensibles aux nouvelles technologies, comme dans le cas d’une location Airbnb. »

Outre la possibilité de contrôler à distance les personnes pouvant disposer d’un accès, il est également possible de définir des tranches horaires précises durant lesquelles chacune de ces personnes disposera de cette autorisation. Et en cas de perte du smartphone, « il suffit d’annuler le droit d’accès et d’utiliser un tag de secours – ou badge de secours », confie Julien Maliar.

Et ce dernier de conclure sur la solidité du système : « La batterie du cylindre – intégrée dans la serrure – a une durée de vie allant jusqu’à 5 ans, et peut se changer en une trentaine de minutes grâce à l’intervention d’un spécialiste ».

Durant plusieurs années, seuls les smartphones fonctionnant sous Android avaient de fait la possibilité de se servir du NFC comme badge virtuel devant un lecteur de contrôle d’accès. Difficile cependant pour les concepteurs de se priver des utilisateurs d’iPhone, qui représentent une part considérable sur le marché du smartphone. D’où la nécessité de trouver une alternative.

« Il y a environ 5 ans, l’indentification par bluetooth a fait son apparition. L’idée était d’utiliser le bluetooth du téléphone pour s’identifier auprès du lecteur de badge, précise Stéphane Klintzing. L’avantage du bluetooth est que l’on n’est pas fermé sur la marque du téléphone. Cela fonctionne aussi bien sous Android que iOS. »

Autre avantage non négligeable du bluetooth : la distance. « Le BLE (Bluetooth Low Energy) a une plus longue portée. Il peut être utilisé à plusieurs dizaines de mètres. Un smartphone utilisant un système NFC, ou un badge classique, a un temps de réponse plus court mais il doit être placé à quelques centimètres du lecteur pour permettre l’identification. L’amélioration du temps de réponse de la technologie bluetooth est l’un des objectifs à court terme », renchérit Dominique Auvray.

La distance n’est cependant pas le seul atout que peut représenter le smartphone en comparaison avec un badge. « Le smartphone permet une facilité d’ergonomie et des baisses des coûts d’administration », énonce le directeur marketing de Fichet Group.

« Les entreprises qui emploient un nombre important de salariés ont un budget “badges” astronomique, poursuit Stéphane Klintzing. Entre le coût d’acquisition et la prestation de configuration, on parle d’une dizaine d’euros pour fournir un badge. Avec un smartphone, vous pouvez faire cela via un cloud, en enregistrant une adresse email. Le destinataire y reçoit un lien pour télécharger l’application et la configuration du badge virtuel afin de pouvoir entrer sur le site. Certes les badges virtuels ne sont pas gratuits, mais leur coût est bien inférieur à celui d’un badge physique », conclut le responsable bureau d’études de DEF Sûreté.

Sans oublier le fait que les possibilités de perdre un smartphone sont moindres. « Un smartphone n’est pratiquement jamais oublié. On y porte plus d’attention. Alors qu’un badge peut être oublié chez soi, sur le plateau à la cantine… », argue notre interlocuteur, qui par ailleurs n’oublie pas de préciser que les possibilités d’usurpation sont plus nombreuses.

« Un badge, dès lors qu’il est trouvé, peut être utilisé. Le smartphone dispose d’un contrôle renforcé comprenant une part d’identification et d’authentification. Si le smartphone n’est pas déverrouillé et que l’application n’est pas activée, le badge virtuel n’est pas utilisable.

Tout est entièrement chiffré, que cela soit : la communication vers le cloud, qui est hébergé sur un site sécurisé ; l’application sur le smartphone, qui est stockée dans une zone sécurisée du téléphone ; et la communication avec le lecteur de badge, qui est aussi cryptée », ajoute l’intéressé.

Pour autant, le niveau de sécurité dans un système ne diffère pas, qu’il comprenne comme moyen de contrôle d’accès un badge ou un smartphone. « Le niveau de sécurité du système n’est pas supérieur avec un smartphone qu’avec un badge, tempère tout de même Dominique Auvray. Pour garantir ce niveau de sécurité, il est important de s’assurer que les clés d’accès aux données soient stockées dans l’unité de traitement local (UTL) et non dans la tête de lecture [devant laquelle est présenté le badge ou le smartphone, Ndlr]. L’UTL, ou “contrôleur”, est le dispositif qui permet le traitement des droits d’accès sur chaque porte. »

Ainsi au-delà du support servant à identifier et à authentifier une personne disposant d’un droit d’accès, c’est avant tout la sécurisation du système sur site dans son ensemble qui reste primordiale.

Outre l’aspect technique, la dimension humaine ne doit pas être oubliée. Notamment lorsqu’il s’agit de smartphones. Si tous les employés d’une entreprise sont logés à la même enseigne avec un badge – sur l’aspect visuel du moins car les droits d’accès peuvent varier d’un endroit du bâtiment à un autre et d’une personne à une autre – la donne diffère dès lorsqu’il s’agit de smartphones… qui peuvent alors faire office de marqueur social au sein d’une entreprise.

« La principale contrainte, c’est le produit final : le smartphone. Quand l’employeur fait le choix d’un badge physique, il en fournit un à chaque collaborateur. Quand l’accès au site passe par un smartphone, ce n’est plus la même chose. Soit l’employeur fournit un smartphone professionnel à tous ses collaborateurs, ce qui représente un coût conséquent, soit il demande à ses collaborateurs ne disposant pas de smartphone professionnel d’utiliser leur smartphone personnel. Mais l’utilisateur final n’est pas toujours d’accord » avertit Stéphane Klintzing, en se basant sur une expérience vécue chez un client.

Rappel d’une certaine forme de hiérarchisation, voire d’une potentielle différence de considération entre des « cadres privilégiés » disposant d’un téléphone professionnel et des « salariés lambdas » contraints d’utiliser leur téléphone personnel… La mise à disposition d’un smartphone peut très vite tourner à la lutte des classes lorsqu’il n’est pas accessible à l’ensemble des collaborateurs d’une entreprise.

La solution à ce type de problématique a pourtant rapidement été trouvée avec la mise en place de lecteurs multi-technologies, permettant l’identification de badges et de smartphones.

Badge ou smartphone… L’avenir de l’identification devrait en réalité s’écrire avec les deux technologies. « Aujourd’hui, les intégrations de systèmes par badges sont plus importantes que celles par smartphones. Mais la demande est en hausse pour ces derniers. C’est une solution d’avenir, qui prend son temps mais se démocratise », relate Stéphane Klintzing.

Preuve que cet avenir s’écrira probablement avec des lecteurs multi-technologies, Fichet Group lancera très prochainement son nouveau lecteur ProStyl B, qui inclura la lecture de badges Mifare DESFire, mais aussi des technologies NFC et BLE, afin que l’ensemble des smartphones disponibles sur le marché – fonctionnant sous Android ou iOS – puissent servir de support d’identification et d’authentification.

Malgré la domination des badges sur le plan national, la France n’est pas pour autant lâchée à l’international s’agissant de l’identification via smartphones. En termes de conception, « elle est plutôt dans le bon wagon, analyse Dominique Auvray. Les groupes de télécommunications et les grands constructeurs français sont très avancés sur ces questions ».

Pour ce qui est de l’utilisation, les pays asiatiques restent néanmoins leaders en la matière. « En Asie, ils sont beaucoup plus ouverts à l’utilisation des smartphones personnels pour accéder aux sites professionnels », note notre interlocuteur de DEF Sûreté. Les différences culturelles sur la collecte et le partage de données personnelles (incluant la reconnaissance faciale), régulés en France par le RGPD, tend par ailleurs à expliquer cette ouverture d’esprit plus largement diffusée au sein des pays asiatiques quant à ces formes d’utilisation du smartphone.

Enfin, notons que le badge a encore un bel avenir devant lui en France. L’Anssi (Agence nationale de la sécurité des systèmes d’information) impose en effet l’utilisation de badges Mifare DESFire aux OIV (Opérateurs d’importance vitale). Une condition renforcée par le fait que, jusqu’à présent, « aucun badge Mifare DESFire EV1 ou EV2 n’a été décrypté »… Et que les possibilités de se faire hacker sur un support « coupé du monde extérieur et d’internet » sont bien moindres en comparaison d’un smartphone qui, « bien que sécurisé, conserve un lien vers l’extérieur avec les données mobiles et peut, potentiellement, subir une perte de données », rappelle Stéphane Klintzing.

Reste que pour l’heure, cette décision légitime de l’Anssi éloigne inéluctablement les smartphones « du marché du contrôle d’accès de la très haute sécurité », conclut Dominique Auvray. D’où l’émergence d’un compromis incluant badges et smartphones.