Le NFC est-il sûr, et que peut-il exposer ?

Ce que la physique exclut

Un tag n'a pas de pile. Il est alimenté par le champ du lecteur, et ce champ est exploitable sur environ deux centimètres.

Tout scénario qui commence par quelqu'un à l'autre bout d'une pièce, ou qui passe dans une foule, demande donc au champ quelque chose dont il est incapable. L'attaquant doit se tenir assez près pour que vous le remarquiez, et y rester pendant tout l'échange.

Un tag n'a pas non plus de logique. Il répond à ce qu'on lui demande et ne fait rien d'autre, ce qui signifie qu'il ne peut ni décider, ni prendre l'initiative, ni joindre quoi que ce soit.

Ces deux faits écartent l'essentiel de ce qui s'écrit sur le risque NFC. Ce qu'ils n'écartent pas mérite d'être pris au sérieux.

Ce qui subsiste réellement

La destination. Un tag porte une adresse, et la page à cette adresse se comporte comme n'importe quelle page : elle peut consigner la visite, poser des identifiants, et enregistrer bien plus que le tag n'a jamais contenu. C'est là que réside vraiment la question de la vie privée.

Les systèmes qui se fient à un numéro. Un tag annonce un identifiant à tout lecteur qui le demande. Les installations qui autorisent sur cet identifiant autorisent sur une valeur que n'importe qui, en se tenant à côté du porteur, peut obtenir.

Le contenu qui ne devrait pas être public. Tout ce qui est écrit sur un tag est lisible par quiconque en approche un téléphone, sans autorisation demandée et sans trace laissée.

Et la réécriture plutôt que la copie. Un tag non verrouillé posé sur un mur peut être écrasé par un passant, attaque plus praticable que la duplication et qui retient moins l'attention.

La confusion qui fait les dégâts

Verrouiller un tag et protéger un tag ne sont pas la même chose, et les confondre cause plus de pertes réelles que n'importe quelle attaque.

Le verrouillage empêche l'altération. Il ne fait absolument rien contre la copie, puisqu'une copie se fait en lisant, et que lire est précisément ce à quoi un tag sert.

De même, un identifiant a l'air d'un secret et n'en est pas un. Il est long, il paraît aléatoire, et personne ne le publie, ce qui ne le rend en rien confidentiel.

La plupart des déploiements déçus viennent d'une de ces deux confusions plutôt que d'un adversaire perfectionné.

Juger un risque à ce qu'il rapporte

Copier un tag demande une proximité, un support vierge, et une raison. Les deux premiers ne coûtent rien, et c'est sur la troisième que la plupart des craintes se défont.

La copie d'un tag qui ouvre une page publique rapporte à l'attaquant une page publique. La copie d'un badge qui ouvre une porte lui rapporte la porte. La même opération, des conséquences sans commune mesure, et la différence tient entièrement à ce qui se trouve derrière le tag.

La question utile n'est donc pas de savoir si votre tag peut être copié. Il peut l'être. La question est de savoir ce que quelqu'un détiendrait s'il le faisait.

Répondez à cela d'abord, et la protection qui suit sera proportionnée plutôt que réflexe.