Rien à déclarer?
Le premier intérêt du passeport électronique est la sécurité. Comme l’écrit l’autorité britannique de délivrance des passeports sur son site web : « Le risque croissant de la fraude d’identité implique que nous devons renforcer les fonctions de sécurité. » En incluant une version numérique des données biométriques dans le passeport, l’objectif est d’assurer que seul son titulaire pourra l’utiliser.
De plus, le passeport électronique – ou e-passeport – permettra une immigration automatisée et des procédures de visa plus simples, auxquelles s’ajoutera un confort de voyage accru.
Les gens se méfient néanmoins des passeports électroniques. Ils s’inquiètent surtout de la puce RFID du passeport qui permet une lecture sans contact. La plupart de leurs inquiétudes sont exagérées. Par exemple, il n’est possible de lire les passeports des gens à leur passage en se tenant près du poste de contrôle de l’immigration.
Une longue date d’expiration
Les normes des passeports électroniques ont été définies par l’Organisation de l’Aviation Civile Internationale (OACI). Les informations traditionnellement données à la page biographique, comme le nom, la date de naissance et la photo, sont numérisées et cryptées sous forme hachée (les codes hash sont les valeurs obtenues quand de grandes quantités de données sont converties). La somme des empreintes est elle-même hachée. Ces codes et les données d’origine auxquelles ils se réfèrent peuvent seulement être lus si le lecteur a accès à une clé.
« Il est vrai que la technologie cryptographique se dégrade dans le temps », précise Tim Moses, directeur des Technologies de Sécurité Avancées chez Entrust, fournisseur de sécurité logicielle pour e-passeports, « mais la cryptographie est absolument sûre aujourd’hui. » Des études estiment que cette méthode de cryptographie est sûre au moins jusqu’en 2030. La sécurité des passeports électroniques actuels est donc assurée pendant toute leur durée de vie de dix ans.
La technologie actuelle en est déjà à sa deuxième génération, qui a résolu les faiblesses de la première. Les nouveaux passeports peuvent authentifier le terminal, de sorte que des lecteurs non autorisés ne peuvent pas pirater les données. Le cryptage et la certification ont été améliorés, permettant d’inclure des empreintes digitales ou l’image de l’iris dans les informations numérisées. Ces données biométriques supplémentaires sont désormais en cours de déploiement.
Mais il existe des opposants : Lukas Grunwald est un nom qui fait voir rouge de nombreux professionnels du passeport électronique. En effet, dans une récente publication du Rapport MRTD de l’OACI, Barry Kefauver, consultant en sécurité, qualifie Grunwald d’« irrationnel », l’accusant de faire des « déclarations infondées les unes après les autres.
Grunwald, Directeur des Technologies de la société de sécurité allemande DN-Systems Enterprise Internet Solutions, a copié une puce, ce qui constitue en soi un danger minime car les informations copiées concernent toujours un même titulaire. Mais il a également affirmé avoir introduit un code sur la puce copiée qui a provoqué le crash des lecteurs. Selon lui, cela signifie que l’on pourrait introduire un programme malveillant qui piraterait les terminaux. « Vous pourriez commander au lecteur de laisser passer les cinq personnes suivantes – vos camarades terroristes – puis de bloquer toutes les suivantes », suggère-t-il.
La clé officielle
Tim Moses reconnaît qu’un tel scenario est théoriquement possible mais considère qu’il ne pourrait pas se passer dans la pratique. « Tous les terminaux aux postes de frontière devraient être conçus pour ne pas exécuter de code », explique-t-il. «Il faudrait une grande négligence pour déroger à cette règle. »
Les terminaux comparent des clés numériques par rapport à une liste de clés officielles fournies par les autorités compétentes, mais cela ne fonctionne pas encore correctement. L’OACI utilise son propre répertoire de clés publiques (PKD) que les pays alimentent avec leurs clés publiques, qu’ils modifient plusieurs fois par an pour toujours devancer les pirates. Mais ce système implique de la confiance et la confiance entre pays n’est nullement universelle. Très peu de pays se sont donc associés à cette liste.
M. Grunwald pense que le manque de confiance continuera à entraver la réussite de cet échange de clés. Aussi, dans le but de régler ce problème, l’OACI a-t-elle introduit une nouvelle procédure qui permet aux pays de publier des certificats collectés au travers d’accords bilatéraux, sur une liste principale. Mais pour l’instant, un grand nombre de postes frontières lisent les passeports sans utiliser les processus d’autorisation les plus sécurisés.
M. Moses admet que le problème n’est pas encore résolu. « Si les clés ne sont pas gérées correctement », note-t-il, « alors une cryptographie bien faite ne sert à rien. Mais cela est reconnu comme un problème et nullement ignoré. »
Pour terminer, M. Moses explique que la principale menace des passeports électroniques est la même que pour tous les secteurs de sécurité : « Le maillon le plus faible est l’implication humaine. »
Related images
