Cyber Protection
ANSSI
Protection des données et chiffrement des communications
La protection des données et le chiffrement des communications est une attente forte, traitée dans le système de gestion des accès AEOS BLUE.
Cette prise en charge se traduit par des implémentations de sécurité à plusieurs niveaux dans la chaine de communication du système, du serveur jusqu’aux badges :
-
Usage d’une technologie d’identification garantissant la protection des données encodées et le chiffrement des échanges (MIFARE DESFire – EAL5+)
-
Mise en œuvre de protocoles sécurisés au niveau des contrôleurs AP7803 :
-
NEDAP / NR
-
STID / SSCP2
-
OSDP / v2
-
-
Mise en œuvre d’algorithme de chiffrement robustes, pérennes et adaptés (RSA, AES)
-
Protection des clés mères dans des SAM (Secure Access Module) contrôleurs
-
Utilisation de fonctions de diversification des clés pour chaque badge encodé
-
Mise en place de certificats signés, par la PKI client, protégeant en authentification les équipements (IEEE 802.1x) et assurant le chiffrement des données transitant sur le réseau fédérateur (Ethernet TCP/IP)
L’implémentation de tous ces niveaux de protection a été réalisée depuis de nombreuses années (2014) et a donné lieu à la 1ère certification par l’ANSSI d’un système de gestion des accès physique en 2015, et à un renouvellement en 2022
Depuis la plateforme AEOS BLUE n’a pas cessé d’évoluer pour proposer une architecture évolutive en fonction de la situation des clients, dans leur application de leur politique de sûreté.
Partir d’une situation faiblement sécurisée pour aboutir à une version intégralement sécurisée et certifiée, sans modification des équipements installés, est une réalité éprouvée chez de nombreux comptes.
1ère étape : point de départ
Système existant mettant en œuvre une technologie d’identification non sécurisé ou obsolète (RFID 130KHZ, MIFARE Classic, etc.), ainsi que des Lecteurs communicants via des protocoles faibles (Omron/Dataclock ; Wiegand, RS232, etc.)
Politique de sûreté : migration vers la technologie MIFARE DESFire Evx
-
Mise en place de lecteurs multi technologies permettant une migration de la technologie existante (non sécurisée) vers la technologie MIFARE DESFire Evx
-
Conservation des câbles bus terrain de l’ancien système.
-
Conservation des équipements et câbles existants
Avantages
Les contrôleurs AEOS BLUE AP7803 peuvent être déployés comme des modules d’extension AP7803, ce qui permet de conserver l’ancienne distribution bus, tout en limitant l’impact sur les coûts d’installation et de câblage.
Les nouveaux lecteurs peuvent proposer une gestion double technologie (exemple : MIFARE Classic + MIFARE DESFire Evx) simultanément afin d’accompagner le remplacement des badges auprès des collaborateurs.
Mise en place des premiers niveaux de sécurisation :
-
Sécurisation de l’ensemble des échanges réseau
-
Sécurisation des échanges entre le serveur d’application AEOS BLUE et les contrôleurs
-
Sécurisation des échanges entre contrôleurs et lecteurs
2ème étape : lecteurs transparents
La migration de l’ancienne technologie d’identification vers la technologie MIFARE DESFire Evx, permet d’envisager le passage en transparent des lecteurs.
-
Lecteur transparent, plus de clés en zone non protégée
-
Gestion des clés MIFARE DESFire dans le contrôleur
Avantages
Plus de clé(s) en zone non protégée
Mise en œuvre de la cartographie client (Application DESFire)
Badges encodés avec des clés diversifiées
3ème étape : objectif final, architecture certifiée ANSSI
Application de la politique de sûreté du client appliqué à son terme et pour un niveau de sécurité le plus abouti actuellement, par le déploiement d’une architecture certifiée par l’ANSSI.
-
Mise en place d’un SAM, par contrôleur, pour la protection des clés DESFire définitives, issues de la cartographie client
-
Abandon des bus de terrain par la mise en réseau sécurisé et reconfiguration du module AP7803 en contrôleur autonome
Avantages
Protection des clés client dans un produit neutre (non-propriétaire) d’une classification internationale de niveau EAL5+
Sans remise en cause des équipements déployés lors de l’installation initiale (1ere Etape) la solution évolue en configuration jusqu’à une version opérationnelle certifiée par l’ANSSI.
Architecture sécurisée de bout en bout
Cette flexibilité de l’architecture AEOS BLUE s’appuie sur la maitrise NEDAP des aspects cyber sécurité dans le domaine de la gestion des accès et une prise en compte des problématiques clients simultanément financières et techniques.
Pour assurer la protection des communications, des protocoles et algorithmes de chiffrement sont mis en place sur l’ensemble de la chaine de communication. Du lecteur jusqu’aux applications serveur, ainsi qu’entre le(s) serveur(s) et les stations d’exploitation.