Image de Philipp Katzenberger

Cyber Protection

ANSSI

Protection des données et chiffrement des communications

Anssi.png

La protection des données et le chiffrement des communications est une attente forte, traitée dans le système de gestion des accès AEOS BLUE.

Cette prise en charge se traduit par des implémentations de sécurité à plusieurs niveaux dans la chaine de communication du système, du serveur jusqu’aux badges :

  • Usage d’une technologie d’identification garantissant la protection des données encodées et le chiffrement des échanges (MIFARE DESFire – EAL5+)

  • Mise en œuvre de protocoles sécurisés au niveau des contrôleurs AP7803 :

    • NEDAP / NR

    • STID / SSCP2

    • OSDP / v2

  • Mise en œuvre d’algorithme de chiffrement robustes, pérennes et adaptés (RSA, AES)

  • Protection des clés mères dans des SAM (Secure Access Module) contrôleurs

  • Utilisation de fonctions de diversification des clés pour chaque badge encodé

  • Mise en place de certificats signés, par la PKI client, protégeant en authentification les équipements (IEEE 802.1x) et assurant le chiffrement des données transitant sur le réseau fédérateur (Ethernet TCP/IP)

L’implémentation, de tous ces niveaux de protections, a été réalisée depuis de nombreuses années (2014) et a donné lieu à la 1ère certification par l’ANSSI d’un système de gestion des accès physique (2015)

Portique smartphone accès

Depuis la plateforme AEOS BLUE n’a pas cessé d’évoluer pour proposer une architecture évolutive en fonction de la situation des clients, dans leur application de leur politique de sûreté.

Partir d’une situation faiblement sécurisée pour aboutir à une version intégralement sécurisée et certifiée, sans modification des équipements installés, est une réalité éprouvée chez de nombreux comptes.

1ère étape : point de départ

Système existant mettant en œuvre une technologie d’identification non sécurisé ou obsolète (RFID 130KHZ, MIFARE Classic, etc.), ainsi que des Lecteurs communicants via des protocoles faibles (Omron/Dataclock ; Wiegand, RS232, etc.)

Politique de sûreté : migration vers la technologie MIFARE DESFire Evx

  1. Mise en place de lecteurs multi technologies permettant une migration de la technologie existante (non sécurisée) vers la technologie MIFARE DESFire Evx

  2. Conservation des câbles bus terrain de l’ancien système.

  3. Conservation des équipements et câbles existants

Avantages

Les contrôleurs AEOS BLUE AP7803 peuvent être déployés comme des modules d’extension AP7803, ce qui permet de conserver l’ancienne distribution bus, tout en limitant l’impact sur les coûts d’installation et de câblage.

Les nouveaux lecteurs peuvent proposer une gestion double technologie (exemple : MIFARE Classic + MIFARE DESFire Evx) simultanément afin d’accompagner le remplacement des badges auprès des collaborateurs.

Mise en place des premiers niveaux de sécurisation :

  • Sécurisation de l’ensemble des échanges réseau

  • Sécurisation des échanges entre le serveur d’application AEOS BLUE et les contrôleurs

  • Sécurisation des échanges entre contrôleurs et lecteurs

Point.png
Point.png
Point.png
AEOS

2ème étape : lecteurs transparents

La migration de l’ancienne technologie d’identification vers la technologie MIFARE DESFire Evx, permet d’envisager le passage en transparent des lecteurs.

  1. Lecteur transparent, plus de clés en zone non protégée

  2. Gestion des clés MIFARE DESFire dans le contrôleur

Avantages

Plus de clé(s) en zone non protégée

Mise en œuvre de la cartographie client (Application DESFire)

Badges encodés avec des clés diversifiées

Point.png
Point.png
Point.png
Image de Cytonn Photography

3ème étape : objectif final, architecture certifiée ANSSI

Application de la politique de sûreté du client appliqué à son terme et pour un niveau de sécurité le plus abouti actuellement, par le déploiement d’une architecture certifiée par l’ANSSI.

  1. Mise en place d’un SAM, par contrôleur, pour la protection des clés DESFire définitives, issues de la cartographie client

  2. Abandon des bus de terrain par la mise en réseau sécurisé et reconfiguration du module AP7803 en contrôleur autonome

Avantages

Protection des clés client dans un produit neutre (non-propriétaire) d’une classification internationale de niveau EAL5+

Sans remise en cause des équipements déployés lors de l’installation initiale (1ere Etape) la solution évolue en configuration jusqu’à une version opérationnelle certifiée par l’ANSSI.

Architecture sécurisée de bout en bout

Point.png
Point.png
Point.png

Cette flexibilité de l’architecture AEOS BLUE s’appuie sur la maitrise NEDAP des aspects cyber sécurité dans le domaine de la gestion des accès et une prise en compte des problématiques clients simultanément financières et techniques.

Pour assurer la protection des communications, des protocoles et algorithmes de chiffrement sont mis en place sur l’ensemble de la chaine de communication. Du lecteur jusqu’aux applications serveur, ainsi qu’entre le(s) serveur(s) et les stations d’exploitation.