Contrôles d’accès physique : badges, serrures et sas de sécurité

L’accès physique au matériel neutralise presque tous les contrôles logiques. Un attaquant disposant d’un accès physique à un serveur peut démarrer depuis un support externe, contourner le chiffrement du disque sans la clé (attaque par démarrage à froid), installer des enregistreurs de frappes matériels, retirer les disques durs ou simplement partir avec l’équipement. Aucun pare-feu, chiffrement ou mécanisme d’authentification ne protège les données si une personne non autorisée peut toucher physiquement au matériel. La sécurité physique est le fondement sur lequel reposent tous les autres contrôles.

Une sécurité physique efficace repose sur des zones en couches, avec des restrictions d’accès croissantes. La zone la plus extérieure est le périmètre du bâtiment (clôtures, agents de sécurité, caméras du parking). La couche suivante est l’entrée du bâtiment (lecteurs de badges, comptoir d’accueil). Les zones intérieures comprennent les espaces de bureaux (accès par badge selon le service), les salles des serveurs (accès hautement sécurisé) et le cœur du centre de données (zone la plus restreinte). Chaque couche dispose de ses propres contrôles : compromettre la zone extérieure ne donne pas accès à la zone intérieure.

Les badges d’accès sont les justificatifs d’accès physique les plus courants. Les badges modernes utilisent la technologie de proximité (RFID/NFC), que les lecteurs détectent sans contact, ou la technologie des cartes à puce dotées de puces cryptographiques intégrées. Les cartes à puce sont plus sécurisées, car la puce effectue une authentification cryptographique par défi-réponse au lieu de diffuser simplement un numéro d’identification. Les cartes PIV (Personal Identity Verification) délivrées aux employés du gouvernement des US respectent les normes FIPS 201 et prennent en charge l’accès physique et logique (informatique).

Les zones hautement sécurisées exigent une authentification physique multifacteur, qui combine quelque chose que vous possédez (un badge), quelque chose que vous connaissez (un PIN) et quelque chose que vous êtes (un élément biométrique). Une combinaison courante pour l’accès à un centre de données est la suivante : lecture du badge + saisie du PIN + analyse de l’empreinte digitale. Ainsi, un badge volé seul ne suffit pas pour obtenir l’accès, une empreinte digitale photographiée ne fonctionne pas sans le badge et un PIN connu ne peut pas être utilisé sans le badge physique. L’authentification à trois facteurs pour l’accès physique est courante dans les environnements de défense et les environnements financiers.

Un sas de sécurité (également appelé sas d’accès ou vestibule de contrôle d’accès) est une petite pièce équipée de deux portes à verrouillage mutuel : la première porte doit être fermée et verrouillée avant que la seconde puisse s’ouvrir. Ce mécanisme physique empêche le talonnage (le fait, pour une personne non autorisée, de suivre une personne autorisée à travers une porte sécurisée). Les sas de sécurité peuvent intégrer des capteurs de poids, des compteurs infrarouges et des caméras afin de détecter si plusieurs personnes entrent dans la pièce et de déclencher automatiquement une alarme en cas de tentative de talonnage.

Le talonnage se produit lorsqu’une personne non autorisée suit une personne autorisée à travers une porte sécurisée, à l’insu de cette dernière. Le passage en profitant d’autrui est similaire, mais la personne autorisée coopère en maintenant la porte ouverte. Dans les deux cas, les contrôles d’accès physiques sont complètement contournés. Les moyens de défense comprennent les sas de sécurité, les tourniquets qui n’autorisent qu’une personne par lecture de badge, la formation à la culture de la sécurité (les employés ne doivent pas tenir la porte à des personnes inconnues) et les caméras de détection du talonnage dotées d’une analyse vidéo.

Les serrures physiques vont des modèles élémentaires aux modèles hautement sécurisés. Les serrures à goupilles sont basiques et vulnérables au crochetage et à la reproduction des clés. Les serrures haute sécurité (Medeco, Abloy) possèdent des mécanismes résistants au crochetage et des programmes de contrôle des clés. Les serrures à combinaison nécessitent un PIN connu, mais ne laissent aucune trace d’audit. Les serrures électroniques avec cartes-clés ou claviers à PIN conservent des journaux d’accès et peuvent être verrouillées à distance. Les serrures à code (à boutons) nécessitent un code mémorisé : aucune carte n’est requise, mais la combinaison est fixe et partagée entre les utilisateurs autorisés.

Les contrôles biométriques authentifient les personnes à partir de caractéristiques physiques uniques. Les types courants comprennent les scanners d’empreintes digitales (rapides, peu coûteux et les plus courants), les lecteurs de la géométrie de la main (technologie plus ancienne, présente dans les centres de données), les scanners de l’iris (très grande précision, coûteux) et la reconnaissance faciale (pratique, mais potentiellement moins précise lorsque l’éclairage est faible). Les principaux indicateurs des systèmes biométriques sont le False Acceptance Rate (FAR) — la fréquence à laquelle une personne non autorisée est admise — et le False Rejection Rate (FRR) — la fréquence à laquelle une personne autorisée est refusée.

Les visiteurs, les prestataires et le personnel de maintenance qui ont légitimement besoin d’un accès physique doivent suivre des procédures contrôlées. Les bonnes pratiques comprennent : l’approbation préalable de tous les visiteurs avant leur arrivée, la vérification d’une pièce d’identité officielle à l’accueil, la délivrance de badges visiteurs à durée limitée qui se désactivent automatiquement, l’obligation d’un accompagnateur désigné restant avec le visiteur pendant toute sa présence et la tenue d’un registre des visiteurs indiquant l’heure d’arrivée, l’heure de départ, les zones visitées et le motif de la visite. Les registres des visiteurs facilitent les investigations judiciaires lorsqu’un incident survient après la visite.

Les contrôles de sécurité physique doivent être régulièrement testés au moyen de tests d’intrusion physique (exercices d’équipe rouge). Les testeurs tentent de pratiquer le talonnage, l’ingénierie sociale auprès du personnel d’accueil, le clonage de badges et le crochetage afin d’identifier les faiblesses avant les attaquants. Les audits des badges garantissent que les justificatifs des employés dont le contrat a pris fin sont rapidement désactivés. Les audits de revue des accès garantissent que seul le personnel actuellement autorisé conserve l’accès aux zones sensibles. Des tests réguliers révèlent si les contrôles qui fonctionnaient sur le papier fonctionnent réellement en pratique.

Chaque événement d'accès à une porte contrôlée par badge doit être journalisé : qui (ID du badge), où (porte/salle), quand (horodatage) et si l'accès a été accordé ou refusé. Ces journaux permettent de mener des enquêtes de sécurité en cas d'incident (« quelqu'un se trouvait-il dans la salle server lorsque l'équipement a disparu ? »), de réaliser des audits de conformité (qui a accédé aux zones PCI-DSS ?) et de détecter les anomalies (un employé qui accède au bâtiment à 3 heures du matin le week-end). Les journaux de badges doivent être stockés de manière sécurisée et conservés pendant au moins 90 jours, ou plus longtemps selon les exigences de conformité.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : la sécurité physique utilise des zones en couches, avec des contrôles de plus en plus stricts à mesure que l'on s'approche des zones sensibles ; les sas de sécurité empêchent le talonnage en exigeant qu'une porte soit fermée avant que la suivante puisse s'ouvrir ; et l'authentification physique multifacteur, qui combine badges, codes PIN et biométrie, garantit que des identifiants volés ne suffisent pas à eux seuls pour obtenir un accès. Nous allons maintenant étudier les systèmes de surveillance : CCTV, capteurs de mouvement et journalisation pour la surveillance de la sécurité physique.