Votre Badge d'Accès se Copie en Huit Secondes

Il y a un objet, dans la plupart des immeubles de bureaux marocains, que tout le monde considère comme une clé et qui n'en est pas une. Le badge de proximité 125 kHz ne verrouille rien : il annonce un numéro, en clair, à qui veut bien l'écouter.

Ce que fait réellement un badge 125 kHz

Le principe est d'une simplicité désarmante. Le lecteur émet un champ électromagnétique qui alimente la puce du badge. Une fois alimentée, la puce fait une seule chose : elle récite son numéro d'identification. Toujours le même, jamais chiffré, sans vérifier à qui elle parle.

C'est un modèle conçu dans les années 1990, à une époque où le matériel de lecture coûtait cher et restait entre les mains des professionnels. La sécurité reposait sur la rareté de l'équipement, pas sur la cryptographie. Cette hypothèse ne tient plus.

Un badge 125 kHz ne prouve pas qui vous êtes. Il récite un numéro que n'importe quel appareil à portée peut entendre et répéter.

Le coût de l'attaque : moins de vingt euros

Des lecteurs-copieurs de badges RFID se vendent librement en ligne pour une somme dérisoire. L'appareil tient dans une main. Son fonctionnement tient en trois gestes : l'approcher d'un badge légitime, appuyer sur un bouton, poser une carte vierge et appuyer à nouveau. La copie est terminée.

1. Lecture — Le copieur capte l'identifiant à quelques centimètres. Une poche de veste ou un sac ne l'arrêtent pas. La personne porteuse ne voit rien.
2. Écriture — L'identifiant est réécrit sur une carte vierge programmable, vendue au détail pour quelques dirhams.
3. Usage — La copie est indiscernable de l'original pour le lecteur. Elle ouvre les mêmes portes, et le journal d'accès enregistre le nom du porteur légitime.

Ce que change le 13,56 MHz chiffré

La génération suivante ne se contente pas de changer de fréquence : elle change de modèle. Avec le MIFARE DESFire EV3, la carte et le lecteur s'authentifient mutuellement avant tout échange, au moyen d'un chiffrement AES 128 bits. La carte ne récite plus rien à un inconnu : elle exige d'abord que son interlocuteur prouve qu'il détient la bonne clé.

Deuxième différence, décisive : la diversification des clés. Chaque carte porte une clé qui lui est propre, dérivée d'une clé maîtresse. Compromettre une carte ne compromet pas les autres. Sur du 125 kHz, il n'y a rien à compromettre — il n'y a pas de clé du tout.

La distance de lecture plus courte du 13,56 MHz est parfois présentée comme un inconvénient. C'est en réalité une propriété de sécurité : plus la portée est courte, plus il faut s'approcher pour tenter une capture. Sur un tourniquet ou une porte, deux à cinq centimètres suffisent largement à l'usage.

Migrer sans tout casser

La bonne nouvelle est qu'une migration ne suppose presque jamais de reprendre le câblage. Le lien entre lecteurs et contrôleurs, généralement en Wiegand ou en OSDP, reste en place. Ce qui change, ce sont les lecteurs et les badges.

Sur les parcs importants, nous procédons par zones et non en une fois. Les accès sensibles sont traités d'abord — local serveur, archives, zones sous douane, pharmacie. Des lecteurs bi-technologie acceptent temporairement les deux formats pendant la transition, ce qui évite d'immobiliser le site. Le 125 kHz est ensuite désactivé zone par zone, une fois les porteurs rééquipés.

Sur un site industriel de Kénitra que nous avons repris, la migration s'est étalée sur cinq semaines en 3×8 sans jamais arrêter la production. Le détail du chantier figure dans notre étude de cas.

Trois mesures utiles avant même de migrer

Si le budget n'est pas disponible immédiatement, le risque se réduit sensiblement sans rien remplacer.

• Un second facteur sur les zones sensibles — un code ou une empreinte rend le badge cloné inutilisable seul. On ne l'ajoute que là où c'est justifié, sinon il sera contourné.
• L'anti-passback — un badge déjà entré ne peut pas resservir sans être sorti. Une copie utilisée en parallèle déclenche alors une anomalie visible.
• La lecture réelle des journaux — deux entrées sans sortie intermédiaire signalent une copie en circulation. Encore faut-il que quelqu'un regarde.

Ce qu'il faut retenir

Le badge 125 kHz n'est pas un mauvais produit : c'est un produit dont le modèle de sécurité a été rendu obsolète par la baisse du coût du matériel. Il reste acceptable pour un usage sans enjeu — un badge de cantine, un accès parking sans valeur particulière. Il ne l'est plus dès qu'une porte protège quelque chose.

La question à se poser n'est pas « mes badges sont-ils clonables » — ils le sont — mais « qu'est-ce qui se trouve derrière les portes qu'ils ouvrent ». La réponse détermine l'urgence.

Questions Fréquentes

Comment savoir si mes badges sont en 125 kHz ?

Trois indices convergents. D'abord l'âge : la quasi-totalité des installations posées avant 2015 au Maroc utilise du 125 kHz. Ensuite l'épaisseur — les badges 125 kHz sont souvent des porte-clés rigides ou des cartes épaisses, là où le 13,56 MHz tient dans une carte fine. Enfin la référence imprimée : EM4100, EM4102, TK4100 et HID Prox sont toutes des puces 125 kHz. En cas de doute, un lecteur de diagnostic identifie la technologie en quelques secondes, et nous le faisons gratuitement pendant l'audit.

Faut-il remplacer toute l'installation pour migrer ?

Rarement. Le câblage entre lecteurs et contrôleurs reste utilisable dans la plupart des cas, et beaucoup de contrôleurs récents acceptent des lecteurs 13,56 MHz sans changement. Ce qui doit être remplacé, ce sont les lecteurs et les badges. Sur un parc important, nous procédons par zones : les accès sensibles d'abord, avec des lecteurs bi-technologie qui acceptent temporairement les deux formats, puis extinction progressive du 125 kHz une fois tous les porteurs rééquipés.

Le MIFARE DESFire est-il vraiment inclonable ?

Aucune technologie n'est éternellement inviolable, mais l'écart est considérable. Le DESFire EV3 utilise un chiffrement AES 128 bits avec authentification mutuelle : le lecteur et la carte se prouvent mutuellement leur identité avant tout échange, et les clés sont diversifiées, c'est-à-dire différentes pour chaque carte. Copier une carte supposerait de casser l'AES ou d'extraire les clés du lecteur. À l'échelle d'un immeuble ou d'un site industriel, cela sort du domaine de la menace réaliste.

Et si je ne peux pas migrer tout de suite ?

Trois mesures réduisent le risque sans rien remplacer. Ajoutez un second facteur sur les seules zones sensibles : un code au clavier ou une empreinte, ce qui rend le badge cloné inutilisable seul. Activez l'anti-passback, qui interdit à un badge déjà entré de resservir sans être sorti — un badge cloné utilisé en parallèle déclenche alors une alerte. Enfin, exploitez réellement les journaux d'accès : un badge qui entre deux fois sans sortie intermédiaire est le signe d'une copie en circulation.