Badges RFID/NFC : Mifare, Desfire ou 125kHz, quelle technologie est encore sûre en 2024 ?

En tant que DSI, vous avez probablement déjà vu ces vidéos montrant avec quelle facilité déconcertante un outil comme le Flipper Zero peut cloner un badge d’accès basse fréquence. La menace est connue, presque banalisée. La conclusion semble évidente : la technologie 125kHz, encore présente dans de nombreuses organisations, est une porte ouverte qu’il faut fermer de toute urgence. Pourtant, la véritable problématique pour un responsable de la sécurité des systèmes d’information n’est plus de savoir *s’il faut* migrer, mais *comment* le faire. Comment remplacer un parc de 1000, 5000 ou 10 000 badges sans paralyser l’activité, sans créer une rupture d’accès et en maîtrisant les coûts ?

La discussion commune s’arrête souvent à un simple comparatif technique entre les technologies Mifare et DESFire. Si ce choix est fondamental, il ne représente que la première étape d’une réflexion bien plus vaste. La robustesse d’un système de contrôle d’accès moderne ne dépend pas uniquement de la solidité cryptographique de ses badges. Elle repose sur une stratégie de migration pragmatique, une gouvernance claire des usages et une conscience aiguë du risque qui demeure, même avec la meilleure technologie du monde : le facteur humain. C’est ce risque résiduel, souvent négligé, qui transforme un système techniquement sécurisé en une forteresse aux portes laissées ouvertes par inadvertance.

Cet article n’est pas un énième plaidoyer contre les badges 125kHz. Il s’adresse au DSI qui a déjà intégré cette obsolescence et qui cherche maintenant une feuille de route stratégique. Nous allons décomposer les étapes d’une migration réussie, arbitrer les choix complexes comme le badge multiservices ou la personnalisation visuelle, et surtout, nous nous attarderons sur les vecteurs d’attaques non-technologiques, de l’ingénierie sociale à la conformité RGPD, qui constituent aujourd’hui le véritable enjeu de la sécurité des accès.

Cet article vous guidera à travers les décisions stratégiques qui vont au-delà du simple choix technologique. Le sommaire ci-dessous détaille les points clés que nous aborderons pour construire une politique de contrôle d’accès véritablement robuste.

Clonage de badge : comment un hacker copie votre badge dans l’ascenseur ?

La vulnérabilité des badges 125 kHz n’est plus un secret pour personne. Le mode opératoire d’une attaque par proximité est d’une simplicité alarmante : un attaquant équipé d’un lecteur/enregistreur compact (comme le Flipper Zero, mais des modèles moins connus existent depuis des années) n’a qu’à s’approcher à quelques centimètres de votre badge. La communication étant non chiffrée, l’identifiant unique du badge est lu et copié en clair. Le processus est passif, rapide et ne laisse aucune trace. Selon des tests de sécurité, le temps de copie est estimé à moins de 10 secondes pour un badge non sécurisé. L’attaquant peut ensuite écrire cet identifiant sur un badge vierge et disposer d’un clone parfait.

Ce scénario, souvent illustré dans un ascenseur ou une file d’attente, met en évidence la faille fondamentale de la technologie 125 kHz : elle a été conçue pour l’identification, pas pour l’authentification sécurisée. Elle répond à la question « Qui es-tu ? » sans aucun moyen de vérifier que la réponse est légitime. Le badge ne fait que crier son nom à quiconque veut bien l’entendre. Les technologies plus modernes, comme MIFARE DESFire, utilisent des mécanismes cryptographiques complexes. Lors d’une tentative de lecture, le lecteur et le badge engagent un dialogue chiffré, s’authentifiant mutuellement avant tout échange d’information sensible.

Comme le souligne le site spécialisé L’Univers du Badge, si le clonage de badges anciens est possible avec du matériel bon marché, ces modèles sont heureusement en voie de disparition dans les environnements critiques. Le véritable risque pour une organisation aujourd’hui n’est pas tant de découvrir cette vulnérabilité, mais de ne pas avoir de plan pour y remédier. Chaque badge 125 kHz en circulation est une invitation potentielle à une intrusion. La question n’est donc plus de savoir si cette technologie est obsolète, mais à quelle vitesse vous pouvez l’éradiquer de votre périmètre de sécurité.

Migration technologique : comment changer 1000 badges et lecteurs sans bloquer l’accès ?

L’idée de remplacer simultanément des milliers de badges et l’ensemble des lecteurs de porte peut sembler un cauchemar logistique et financier. C’est la principale raison pour laquelle de nombreuses entreprises reportent une migration pourtant indispensable. Heureusement, la solution n’est pas dans le « tout ou rien », mais dans une migration progressive et maîtrisée. La clé de cette transition en douceur réside dans l’adoption de lecteurs « bi-fréquence » ou « multi-technologies ».

Ces lecteurs intelligents sont capables de lire à la fois les anciens badges 125 kHz et les nouvelles cartes sécurisées MIFARE DESFire. Cette double capacité permet de déployer une stratégie par paliers, sans aucune interruption de service pour les utilisateurs. Le plan de migration se déroule typiquement ainsi :

1. Phase 1 : Remplacement des lecteurs. L’infrastructure est mise à niveau en installant les nouveaux lecteurs bi-fréquence. À ce stade, rien ne change pour les employés qui continuent d’utiliser leurs anciens badges 125 kHz.
2. Phase 2 : Déploiement progressif des nouveaux badges. Les nouveaux badges sécurisés DESFire sont distribués aux employés (par service, par étage, ou lors de l’arrivée de nouveaux collaborateurs). Chaque utilisateur peut alors utiliser son nouveau badge immédiatement.
3. Phase 3 : Désactivation de l’ancienne technologie. Une fois que l’ensemble du parc de badges a été renouvelé, la fonction de lecture 125 kHz peut être désactivée sur tous les lecteurs via une simple mise à jour de configuration. Le système fonctionne alors exclusivement en mode haute sécurité.

Cette approche transforme une opération potentiellement chaotique en un processus gérable et transparent pour les utilisateurs finaux.

Planifier une migration est donc avant tout un exercice de gestion de projet. Il faut cartographier l’existant, définir un calendrier réaliste et communiquer clairement avec les équipes. Le bénéfice est double : une augmentation drastique du niveau de sécurité et une modernisation de l’infrastructure qui ouvre la voie à de nouveaux usages, comme le multiservice.

Imprimante à badges : faut-il imprimer la photo et le nom sur le badge (sécurité vs perte) ?

La personnalisation visuelle des badges d’accès est un arbitrage constant entre la sécurité par identification visuelle et les risques liés à la perte d’informations personnelles. Imprimer le nom, le prénom et la photo d’un employé sur son badge permet un contrôle social simple et efficace : n’importe quel collaborateur peut vérifier d’un coup d’œil si la personne portant le badge est bien son détenteur légitime. Cela complique l’usage d’un badge volé et renforce la sécurité globale. Cependant, cette pratique soulève d’importantes questions de conformité avec le RGPD.

Un badge perdu ou volé devient une fuite de données personnelles. Le nom et la photo sont des données à caractère personnel, et leur présence sur un objet facilement égaré doit être justifiée par le principe de minimisation. La CNIL est très claire sur ce point : la collecte de données doit être « adéquate, pertinente et limitée à ce qui est nécessaire au regard des finalités ». En France, les données jugées légitimes pour un badge d’accès incluent généralement l’identité (nom, prénom, matricule, service, photographie), le numéro de badge et sa date de validité.

La question se complexifie si la photo est utilisée non seulement pour l’identification humaine, mais aussi par des systèmes automatisés. La CNIL a déjà mis en demeure des employeurs pour des badgeuses prenant systématiquement une photo à chaque pointage, jugeant cette « collecte obligatoire et systématique (…) excessive ». L’enjeu pour le DSI est donc de documenter la finalité et la nécessité de chaque donnée imprimée. Est-ce pour la sécurité ? La convivialité ? La gestion RH ? Plusieurs approches peuvent être envisagées :

• Badge anonyme : Le badge ne contient que le logo de l’entreprise. La sécurité repose uniquement sur la puce et les systèmes électroniques. C’est l’approche la plus stricte en termes de RGPD, mais elle sacrifie le contrôle visuel.
• Badge nominatif simple : Le badge affiche le prénom et éventuellement l’initiale du nom, sans photo. C’est un compromis qui permet l’identification sociale sans exposer des données biométriques.
• Badge complet (photo + nom) : La solution la plus classique, mais qui demande une analyse de risque et une politique de gestion des badges perdus très rigoureuse.

La décision dépendra du contexte de sécurité de l’entreprise, de sa culture et de son niveau d’exposition aux risques.

Badge multiservices : cantine, impression et accès sur la même carte, bonne ou mauvaise idée ?

L’idée de consolider l’accès aux locaux, le paiement à la cantine, le déblocage des impressions sécurisées et même l’accès au parking sur une seule et même carte est séduisante. Pour l’utilisateur, c’est la simplicité d’un passe-partout unique. Pour l’entreprise, c’est une rationalisation des processus et des consommables. Sur le plan de la sécurité, la réponse est plus nuancée : c’est une excellente idée à condition d’utiliser la bonne technologie.

Tenter de mettre en place un badge multiservices avec une technologie de base comme le 125 kHz ou même MIFARE Classic serait une erreur critique. Ces puces n’ont pas la capacité de cloisonner de manière sécurisée différentes applications. La véritable solution réside dans les puces avancées comme MIFARE DESFire. La technologie DESFire (où « DES » fait référence à l’algorithme de chiffrement et « Fire » à « Fast, Innovative, Reliable, and Secure ») est conçue comme un micro-ordinateur. Elle permet de créer jusqu’à 28 « applications » indépendantes sur une seule puce, chacune protégée par ses propres clés de chiffrement.

Cette architecture en silos est fondamentale. Elle garantit que le système de la cantine ne peut en aucun cas accéder aux informations du système de contrôle d’accès, et vice-versa. Chaque application vit dans son propre conteneur sécurisé. C’est cette segmentation qui rend le badge multiservices non seulement possible, mais aussi robuste. La dominance de cette approche est évidente, avec des technologies comme MIFARE qui représentent plus de 70% du marché des cartes sans contact. En pratique, la puce DESFire EV2 ou EV3 peut héberger une application pour les accès, une autre pour le porte-monnaie électronique de la cafétéria et une troisième pour l’authentification sur les imprimantes, chacune avec un niveau de sécurité adapté à sa criticité.

Le principal défi n’est donc plus technologique, mais organisationnel. Il s’agit de coordonner les différents prestataires (contrôle d’accès, solution de restauration, gestion d’impression) pour qu’ils travaillent sur une plateforme de badge unifiée. Le DSI devient alors un chef d’orchestre, garantissant l’interopérabilité et la gouvernance globale des clés de sécurité.

Badges écolos : existe-t-il des cartes en bois ou PVC recyclé ?

Dans un contexte où la responsabilité sociale des entreprises (RSE) prend une place croissante dans les décisions d’achat, la question de l’impact environnemental des badges en plastique se pose de plus en plus. La réponse est oui, des alternatives plus écologiques au PVC standard existent et sont aujourd’hui fonctionnelles, bien qu’elles présentent des compromis à évaluer.

Les deux principales familles de badges « écolos » sont les cartes en matériaux biosourcés et celles en matériaux recyclés.

• Les badges en bois ou bambou : Ces cartes offrent un aspect esthétique unique et un bilan carbone potentiellement meilleur. Le bois, souvent de bouleau ou de bambou issu de forêts gérées durablement (certifiées FSC), remplace le corps en plastique de la carte. Le défi technique majeur, aujourd’hui résolu par les fabricants spécialisés, a été d’intégrer l’antenne RFID et la puce à l’intérieur de fines couches de bois sans compromettre la performance ou la solidité. Ces badges sont fonctionnels, mais leur durabilité peut être légèrement inférieure à celle du PVC face à l’humidité ou à de fortes contraintes mécaniques. Leur coût est également plus élevé.
• Les badges en PVC recyclé ou en bioplastiques : Une autre approche consiste à s’attaquer au matériau lui-même. Le PVC recyclé utilise des déchets plastiques post-industriels ou post-consommation pour fabriquer de nouvelles cartes, réduisant ainsi la demande de plastique vierge. D’autres alternatives comme le PLA (acide polylactique), un bioplastique dérivé de l’amidon de maïs, sont également disponibles. Ces matériaux ont un aspect et une durabilité très similaires au PVC standard, ce qui en fait une option de transition plus simple.

Le choix d’un badge écoresponsable n’est pas neutre. Il implique généralement un surcoût par rapport à une carte PVC standard. Le DSI doit donc arbitrer entre l’engagement RSE de l’entreprise et les contraintes budgétaires. C’est également un message fort envoyé aux collaborateurs sur les valeurs de l’organisation. D’un point de vue purement technique, il est essentiel de s’assurer que ces matériaux alternatifs sont compatibles avec les imprimantes à badges si une personnalisation visuelle est requise, car les paramètres de chauffe peuvent différer.

Badge physique vs Badge virtuel (smartphone) : la fin de la carte plastique ?

L’avènement du badge dématérialisé sur smartphone, utilisant les technologies NFC ou Bluetooth Low Energy (BLE), est souvent présenté comme la fin programmée de la carte plastique. Les avantages sont indéniables : plus de badges à produire, à distribuer ou à remplacer en cas de perte, et des coûts de fonctionnement réduits. Selon certains fabricants, un badge virtuel serait 2 à 5 fois moins cher qu’un badge physique sur son cycle de vie. La gestion des accès devient entièrement logicielle : l’attribution ou la révocation d’un droit d’accès se fait en quelques clics depuis une plateforme centralisée.

Cependant, annoncer la mort du badge physique serait prématuré. La carte plastique conserve des avantages pragmatiques qui expliquent sa résilience. Le principal argument en sa faveur est sa fiabilité et sa simplicité d’usage. Comme le rappellent des intégrateurs comme RCE Solutions, un badge RFID est un dispositif passif. Il n’a pas besoin de batterie, ne dépend pas du bon fonctionnement d’un smartphone (qui peut être éteint, déchargé ou en panne) et ne requiert aucune action de la part de l’utilisateur autre que de le présenter devant un lecteur. C’est une solution robuste qui « fonctionne toujours ».

Le DSI doit donc évaluer plusieurs facteurs avant de basculer vers le tout-virtuel :

• La population d’utilisateurs : Tous les employés sont-ils équipés d’un smartphone professionnel ? Sont-ils à l’aise avec la technologie ? Qu’en est-il des visiteurs, des intérimaires ou des prestataires ?
• La criticité des accès : Pour des zones hautement sécurisées (salles serveurs, laboratoires), la fiabilité absolue du badge physique peut être préférée pour éliminer toute variable liée au smartphone.
• L’expérience utilisateur : Le badge virtuel peut offrir une expérience plus fluide (déverrouillage à distance via BLE) mais peut aussi être une source de friction (lancer une application, activer le NFC, etc.).

La solution la plus pragmatique est souvent hybride. Les entreprises peuvent proposer le badge virtuel comme une option pratique pour les employés permanents, tout en conservant un stock de badges physiques pour les cas d’usage spécifiques, les visiteurs ou comme solution de secours. Le badge plastique n’est pas mort, il partage simplement la scène.

Audit d’ingénierie sociale : vos employés ramassent-ils les clés USB trouvées par terre ?

Investir des centaines de milliers d’euros dans un système de contrôle d’accès basé sur la technologie DESFire EV3 ne sert à rien si un employé prête son badge à un collègue ou se fait subtiliser sa carte par manque de vigilance. Comme le souligne une analyse de L’Univers du Badge, « le vrai risque, c’est l’humain ». La majorité des incidents de sécurité liés aux systèmes RFID ne proviennent pas d’une faille cryptographique du badge lui-même, mais d’une mauvaise configuration, d’une politique de gestion des accès laxiste ou, le plus souvent, d’une manipulation par ingénierie sociale.

L’ingénierie sociale exploite les biais cognitifs humains (confiance, peur, curiosité) pour contourner les mesures de sécurité. L’exemple classique de la clé USB piégée laissée sur le parking reste une technique d’audit efficace. Combien d’employés la ramasseront et la brancheront sur leur poste de travail, ouvrant ainsi une brèche dans le réseau ? Dans le contexte des badges, les scénarios sont multiples :

• Le « tailgating » ou talonnage : un individu non autorisé profite de l’ouverture d’une porte par un employé légitime pour s’engouffrer derrière lui.
• Le prétexte : un faux technicien ou livreur demande à un employé de lui ouvrir une porte.
• La curiosité : des outils comme le Flipper Zero peuvent être utilisés de manière éthique par des pentesters pour évaluer la réaction des employés. Si un auditeur clone un badge et que le système ne génère aucune alerte de « double présentation » ou d’accès illogique (ex: entrée sans sortie), c’est une faille de configuration.

Pour un DSI, la protection contre ces menaces passe par des audits réguliers qui ne testent pas seulement la technologie, mais aussi les comportements. Les campagnes de « pentesting » éthique sont précieuses pour mesurer le niveau de résilience de l’organisation. Ces tests, menés dans un cadre légal et avec l’autorisation de la direction, permettent d’identifier les failles humaines et processuelles avant qu’un véritable attaquant ne les exploite.

Reconnaissance faciale : surveillance de masse ou contrôle d’accès fluide ?

La reconnaissance faciale représente la prochaine frontière du contrôle d’accès. La promesse est celle d’une fluidité ultime : les portes s’ouvrent sans aucune interaction, simplement en marchant. Fini les badges oubliés, perdus ou volés. Cependant, cette technologie est aussi l’une des plus intrusives, et son déploiement est strictement encadré par le RGPD, qui la considère comme un traitement de données biométriques particulièrement sensible.

Le principe directeur imposé par la CNIL est celui de la minimisation des données. L’article 5(1.c) du RGPD stipule que les données collectées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire ». Le recours à la reconnaissance faciale pour le simple contrôle des horaires de travail ou l’accès à des locaux non sensibles sera presque systématiquement jugé comme « excessif » par l’autorité de régulation. L’employeur doit pouvoir prouver qu’aucune autre solution moins intrusive (comme un badge sécurisé) ne permet d’atteindre le même niveau de sécurité requis.

De plus, le consentement des employés doit être libre et éclairé, ce qui est difficile à établir dans le cadre d’une relation de travail où un lien de subordination existe. Une alternative au consentement est la nécessité de l’employeur de respecter une obligation légale ou son intérêt légitime, mais cet intérêt doit être mis en balance avec les droits et libertés des personnes. Pour le DSI, cela signifie qu’un projet de reconnaissance faciale doit être précédé d’une Analyse d’Impact relative à la Protection des Données (AIPD) extrêmement rigoureuse. Cette analyse doit justifier la nécessité du traitement, évaluer les risques pour la vie privée des salariés et définir les mesures techniques et organisationnelles pour les maîtriser (chiffrement des gabarits biométriques, gestion des droits d’accès au système, etc.). La durée de conservation des données est également scrutée, la CNIL recommandant généralement une durée n’excédant pas 3 mois pour les journaux d’accès.

Si la reconnaissance faciale peut être une solution pertinente pour des zones à très haute sécurité (data centers, zones de recherche critiques), son déploiement à l’échelle d’une entreprise pour des accès standards représente aujourd’hui un risque juridique et d’image majeur. La balance bénéfice/risque penche encore largement en faveur des solutions de badges sécurisés, qui offrent un excellent compromis entre sécurité, coût et respect de la vie privée.

Pour sécuriser durablement vos accès, l’étape suivante consiste à réaliser un audit complet de vos vulnérabilités, en couvrant à la fois les aspects technologiques, processuels et humains. C’est en adoptant cette vision à 360 degrés que vous transformerez votre système de contrôle d’accès en un véritable atout stratégique pour la sécurité de votre organisation.