HID : HID Global, fabricant de badges d'accès (homonyme : Human Interface Device)
Sécurité
HID : HID Global, fabricant américain de badges et de lecteurs de contrôle d'accès, dont le nom vient de Hughes Identification Devices, et dont les gammes Prox, iCLASS et Seos équipent une grande partie des portes d'entreprise. « La marque inscrite sur le badge que l'on présente sans y penser au lecteur de l'entrée », par analogie avec la marque d'une serrure, que l'on ne regarde jamais avant d'apprendre qu'elle s'ouvre avec une épingle.
Les générations : HID Prox, à 125 kHz, émet un identifiant fixe sans aucune cryptographie : un lecteur dissimulé le copie à quelques centimètres et un clone se fabrique en quelques secondes. iCLASS dans sa version historique repose sur une clé maîtresse extraite et publiée en 2010. Les gammes récentes, comme Seos, utilisent une authentification mutuelle fondée sur AES.
Propriété : La société appartient au groupe ASSA ABLOY depuis 2000. Un même parc mélange souvent plusieurs générations de badges, et un lecteur « multitechnologie » qui accepte encore Prox ramène toute l'installation au niveau du maillon le plus faible.
Homonyme : HID désigne aussi Human Interface Device, la classe USB des claviers et souris. C'est par elle qu'une clé USB piégée se fait passer pour un clavier et tape des commandes à la place de l'utilisateur, ce qui n'a rien à voir avec les badges, sinon une même confiance excessive.
Ce qui arrive si on s'en passe
Un site qui protège ses portes avec des badges HID Prox ou iCLASS historiques offre à n'importe quel visiteur muni d'un lecteur de poche la possibilité de copier un badge dans une file d'attente ou un ascenseur, puis d'entrer avec les droits de la victime. Le journal du contrôle d'accès affiche alors le nom du salarié légitime, ce qui oriente l'enquête dans la mauvaise direction. Migrer vers des badges sécurisés sans retirer la compatibilité avec l'ancienne technologie sur les lecteurs ne change rien : l'attaquant présente simplement l'ancien format.
Explication de la marmotte
Beaucoup de bâtiments s'ouvrent avec un badge que l'on approche d'un lecteur. HID est l'une des marques les plus répandues de ces badges. Les plus anciens, appelés HID Prox, se contentent d'envoyer un numéro, sans aucun secret : quelqu'un peut le lire discrètement et fabriquer une copie. Les modèles récents utilisent un vrai chiffrement et sont bien plus difficiles à copier, à condition que les lecteurs n'acceptent plus les anciens.
Où ce terme est utilisé
- Sécuriser badges RFID, NFC et serrures connectées en entreprise (4 occurrences)