Pendant longtemps, la sécurité d'un contrôle d'accès s'est jugée à la solidité de la porte et du badge. Or un système moderne est aussi un réseau : lecteurs, contrôleurs et logiciel de supervision échangent des données en permanence. Si ces échanges sont mal protégés, un badge peut être copié ou une commande d'ouverture rejouée. C'est pour répondre à ce risque qu'est née SPAC Alliance et son protocole SSCP. Voici ce qu'un décideur doit savoir avant de lancer ou de moderniser un projet.
Qu'est-ce que SPAC Alliance ?
SPAC signifie Smart Physical Access Control. L'alliance réunit des acteurs du contrôle d'accès physique : fabricants de lecteurs et de systèmes, éditeurs de logiciels, intégrateurs. Son objectif est de promouvoir un contrôle d'accès à la fois sécurisé et ouvert, c'est-à-dire capable de faire dialoguer des équipements de marques différentes sans sacrifier la protection des échanges.
Concrètement, l'alliance porte et fait évoluer un protocole de communication commun, le SSCP, ainsi qu'une certification de conformité de ce protocole pour les équipements. Safnest est membre de SPAC Alliance : vous pouvez en savoir plus sur notre page dédiée à notre adhésion à SPAC Alliance.
Le problème : des liaisons trop souvent vulnérables
Dans une installation classique, le lecteur de badge est fixé à l'extérieur de la zone protégée, donc accessible à n'importe qui. Il est relié à un contrôleur, souvent appelé UTL (unité de traitement locale), qui décide d'ouvrir ou non la porte.
Sur beaucoup de systèmes anciens, cette liaison n'est ni chiffrée ni authentifiée. Plusieurs faiblesses en découlent :
- l'écoute de la liaison : un dispositif branché sur les fils peut récupérer les identifiants qui transitent ;
- le rejeu : une trame d'ouverture enregistrée peut être renvoyée plus tard ;
- le remplacement du lecteur : un faux lecteur peut se faire passer pour l'original ;
- la dépendance à un fabricant : les protocoles propriétaires empêchent souvent de changer de lecteurs sans tout remplacer.
Ces risques sont d'autant plus sérieux que le contrôle d'accès protège souvent des locaux sensibles : salles serveurs, locaux techniques, laboratoires, zones de stockage.
Le SSCP, un protocole sécurisé et ouvert
Le SSCP (Smart and Secure Communication Protocol) est le protocole promu par SPAC Alliance pour sécuriser les échanges entre les lecteurs, les contrôleurs et le logiciel de gestion. Selon SPAC Alliance, il repose sur :
- le chiffrement des échanges, pour que les données ne soient pas lisibles sur la liaison ;
- la signature des messages, pour détecter toute modification ou tout rejeu ;
- l'authentification des équipements entre eux, pour qu'un faux lecteur ou un faux contrôleur soit rejeté ;
- une spécification ouverte, que tout fabricant peut implémenter.
Le principe du lecteur « transparent »
Une architecture souvent associée au SSCP consiste à utiliser un lecteur dit transparent : il ne contient aucune clé et ne prend aucune décision. Il se contente de transmettre les informations du badge au contrôleur, placé dans la zone protégée. Arracher ou démonter le lecteur extérieur ne donne donc accès à aucun secret. C'est la même logique que celle des recommandations de l'ANSSI : les éléments de décision et les secrets cryptographiques ne doivent pas se trouver du côté non protégé de la porte. Nous détaillons ces architectures sur notre page contrôle d'accès selon les recommandations ANSSI.
SSCP, CSPN et ANSSI : ne pas tout confondre
Plusieurs notions se croisent et méritent d'être distinguées.
La certification SSCP
Délivrée sous l'égide de SPAC Alliance, elle atteste qu'un équipement met correctement en œuvre le protocole. Elle vise surtout l'interopérabilité et la confiance entre produits de marques différentes.
La CSPN de l'ANSSI
La CSPN (certification de sécurité de premier niveau) est délivrée par l'ANSSI après l'évaluation d'un produit par un laboratoire agréé. Elle porte sur un produit précis, dans une version précise, et sur une « cible de sécurité » publiée. Plusieurs solutions de contrôle d'accès certifiées CSPN intègrent le protocole SSCP dans leur cible de sécurité. C'est par exemple le cas de Genetec Security Center Synergis, dont la cible de sécurité publiée par l'ANSSI décrit l'usage du SSCP et l'authentification des lecteurs auprès du contrôleur.
Les recommandations de l'ANSSI
L'ANSSI publie des recommandations sur les architectures de contrôle d'accès physique, classées par niveaux. Il ne s'agit pas d'une norme au sens strict, mais d'un référentiel largement suivi pour les sites sensibles.
À retenir : choisir un lecteur compatible SSCP ne suffit pas à obtenir une installation conforme. C'est l'ensemble de la chaîne qui compte, des lecteurs au logiciel en passant par le réseau et la configuration.
Pourquoi c'est un vrai sujet pour votre entreprise
Réduire le risque de clonage et d'intrusion
Un contrôle d'accès dont les échanges sont chiffrés et authentifiés résiste beaucoup mieux aux attaques les plus courantes sur les liaisons lecteur-contrôleur.
Garder la main sur votre installation
Un protocole ouvert évite d'être enfermé chez un seul fabricant. Vous pouvez remplacer progressivement des lecteurs, ajouter des portes ou changer de logiciel de supervision plus facilement.
Anticiper les exigences de cybersécurité
Les exigences de cybersécurité s'étendent de plus en plus à la sécurité physique, notamment avec la directive européenne NIS 2, qui vise la protection des systèmes d'information et de leur environnement physique. Un contrôle d'accès sécurisé de bout en bout est un argument concret face à ces exigences.
Comment moderniser une installation existante
Il n'est pas toujours nécessaire de tout remplacer d'un coup. Une démarche réaliste se déroule en plusieurs étapes :
- L'audit de l'existant : technologie des badges, type de lecteurs, liaisons, version des contrôleurs et du logiciel, niveau de sensibilité de chaque zone.
- La priorisation : commencer par les accès les plus sensibles et les liaisons les plus exposées.
- Le choix des équipements : lecteurs compatibles SSCP, badges sécurisés, contrôleurs et logiciel adaptés au niveau de sécurité visé.
- La migration progressive : remplacement porte par porte, en maintenant le fonctionnement du site.
- La sécurisation du réseau : segmentation, mots de passe changés, mises à jour, comptes nominatifs.
- Le suivi dans la durée : une maintenance régulière pour appliquer les mises à jour et vérifier les équipements.
Pour les sites qui souhaitent réunir contrôle d'accès, vidéo et intrusion sur une seule plateforme, nous déployons Genetec Security Center, qui permet de superviser l'ensemble depuis une seule interface.
Faites le point avec Safnest
Membre de SPAC Alliance et intégrateur partenaire Genetec, Safnest conçoit, installe et maintient des systèmes de contrôle d'accès pour les professionnels à Aix-en-Provence et dans toute la région PACA. Nos équipes s'appuient sur plus de 15 ans de pratique sur des sites sensibles.
Vous voulez savoir si votre installation actuelle est exposée, ou préparer une migration vers un contrôle d'accès sécurisé ? Contactez-nous ou appelez le 04 83 43 10 44.