La généralisation de la technologie RFID peut aggraver les problèmes de confidentialité si des mesures techniques et de gestion appropriées ne sont pas mises en œuvre rapidement. Il est impératif de protéger non seulement les étiquettes RFID, mais aussi l'ensemble du système RFID, y compris les bases de données, les serveurs et les liaisons de communication.
L'identification par radiofréquence (RFID) est une technologie d'identification automatique fonctionnant à 424 kbit/s (communications M2M) et utilisant une large gamme de fréquences : étiquettes passives (135 kHz, 13,56 MHz, 866-930 MHz, 2,45 GHz, ISO 15693, ISO 18000, ISO 14223) ; étiquettes actives (868/915 MHz, 2,45 GHz, ISO 18000) ; carte à puce sans contact 13,56 MHz (ISO 14443) ; carte à puce double interface 13,56 MHz (ISO 14443). Outre les systèmes RFID à étiquettes passives, semi-passives et actives, d'autres technologies d'identification automatique existent : codes-barres linéaires 1D, symboles 2D (utilisés, par exemple, pour la facturation électronique), cartes à mémoire optique (OMC), systèmes de suivi par satellite (STS), cartes à puce/CAC (utilisées dans les passeports) et boutons de mémoire à contact (CMB). La technologie RFID permet d'identifier des entités grâce à des étiquettes RFID intégrées ou apposées sur celles-ci (personnes, animaux, objets, véhicules). Ces étiquettes sont détectées par un lecteur, qui peut interroger à distance, sans contact visuel, et lire plusieurs étiquettes simultanément, même en mouvement. Les étiquettes modernes peuvent intégrer des micro-capteurs et/ou communiquer avec eux pour collecter des données telles que la localisation et l'état du produit associé, les variations de température, l'exposition à la lumière, les champs électromagnétiques, l'humidité et les mesures d'un accéléromètre (capteur de gravité, actuellement utilisé pour maintenir l'image à l'horizontale). Historiquement, les étiquettes RFID passives ont d'abord été associées aux palettes, puis aux emballages, et enfin au produit lui-même. Il convient de distinguer le vol de données personnelles et l'usurpation d'identité. Le vol ou l'acquisition illégale de données permettant d'identifier une personne se produit lorsqu'une personne obtient des informations permettant de l'identifier, telles que son nom, son adresse, sa date de naissance, ses numéros de téléphone, son numéro de sécurité sociale, etc. L'usurpation d'identité, quant à elle, se produit lorsque ces informations sont utilisées à des fins frauduleuses ou illégales. Il est donc important de faire la distinction entre le vol de données et l'usurpation d'identité.
Risques liés à la protection de la vie privée. Perspective.
La technologie RFID soulève plusieurs préoccupations importantes en matière de protection de la vie privée : (1) Les organisations peuvent collecter des informations personnelles à des fins spécifiques, comme la réalisation d’une transaction financière ou l’octroi d’un accès à un établissement, puis utiliser ces informations à des fins que la personne concernée juge indésirables, telles que la réalisation d’une campagne de marketing direct. (2) Les organisations qui mettent en œuvre des systèmes RFID pour un processus métier spécifique peuvent ignorer comment les informations RFID peuvent être utilisées à des fins non prévues, comme l’analyse ou le suivi d’individus, ou encore la divulgation potentielle de leurs pratiques ou préférences personnelles à des tiers non autorisés (une grande variété d’entreprises, y compris des spammeurs).
La mise en œuvre de la technologie RFID présente des risques pour la protection de la vie privée, tant du point de vue de l'individu que de celui de l'organisation. Pour l'individu, ces risques incluent la divulgation non autorisée d'informations personnelles, le profilage, le suivi et les conséquences personnelles de telles atteintes à la vie privée. Pour l'organisation, les risques comprennent : (i) des sanctions/amendes en cas de non-respect des lois et réglementations relatives à la protection de la vie privée (RGPD, HIPAA, BPL, COPPA, OCDE, FTC, etc.) ; (ii) le boycott de l'organisation par la clientèle en raison de préoccupations réelles ou perçues concernant la protection de la vie privée liées à la technologie RFID ; (iii) la responsabilité juridique pour toute conséquence découlant d'une protection insuffisante de la vie privée ; (iv) le désengagement potentiel des employés, actionnaires et autres parties prenantes (partenaires sociaux, etc.) de l'organisation pour des raisons de responsabilité sociale des entreprises. Les objectifs commerciaux sont souvent en conflit avec les objectifs de protection de la vie privée. Les organisations peuvent tirer profit de l'analyse et du partage des informations personnelles obtenues grâce à la technologie RFID. Cependant, ces activités peuvent potentiellement porter atteinte aux droits ou aux attentes des citoyens et des consommateurs en matière de protection de la vie privée. De même, les méthodes de protection de la vie privée peuvent présenter un risque pour les processus métier. Par exemple, les consommateurs peuvent souhaiter que les étiquettes RFID soient désactivées au moment de l'achat afin d'empêcher leur utilisation ultérieure à des fins de traçabilité. Cependant, s'il est facile de désactiver une étiquette RFID au moment de l'achat, il peut également être plus facile pour des personnes mal intentionnées de les désactiver avant la transaction, perturbant ainsi les processus commerciaux. De plus, les entreprises peuvent souhaiter utiliser les étiquettes RFID après la vente pour assurer le service après-vente, traiter les réclamations et à d'autres fins. Les risques d'atteinte à la vie privée peuvent augmenter lorsqu'une personne possède des étiquettes RFID provenant de plusieurs entreprises, car une personne lisant ces étiquettes peut alors combiner et corréler les informations pour établir des profils d'individus d'une manière qu'aucune entreprise n'aurait pu prévoir. Par exemple, si un consommateur achète un produit muni d'une étiquette RFID et que celle-ci n'a pas été désactivée ou retirée, le vendeur ou une autre personne pourrait ultérieurement utiliser l'étiquette RFID pour révéler la présence de cette personne dans un autre lieu géographique à un moment précis. Le consommateur a peut-être payé le produit en espèces, dans l'intention de rester anonyme lors de la transaction.
Toutefois, si ce consommateur porte un autre dispositif révélant son identité, comme une carte d'identité RFID, une personne pourrait lire subrepticement les deux étiquettes RFID afin d'établir un lien entre le produit acheté et son identité, lien qui n'existait pas auparavant. Avec l'augmentation quotidienne du nombre de produits munis d'étiquettes RFID et la généralisation des lecteurs RFID, le risque d'associations plus complexes s'accroît considérablement. Parmi les autres facteurs influant sur le niveau de risque pour la vie privée, on peut citer : (1) le stockage d'informations personnelles sur les étiquettes RFID ; (2) la nature personnelle des produits étiquetés RFID (par exemple, médicaments ou dispositifs médicaux pouvant révéler un problème de santé, ou livre pouvant révéler une appartenance politique ou religieuse) ; (3) la probabilité que l'étiquette RFID se trouve à proximité de lecteurs RFID compatibles ; (4) la durée de conservation des données dans les systèmes d'archivage ou d'analyse ; (5) l'efficacité des contrôles de sécurité RFID, et plus précisément : (i) l'efficacité des mécanismes de contrôle d'accès et d'authentification de la mémoire de l'étiquette RFID ; (ii) la possibilité de désactiver les étiquettes RFID après leur utilisation dans le cadre du processus commercial. (iii) La capacité des utilisateurs à blinder efficacement les étiquettes RFID contre les interférences électromagnétiques afin d’empêcher les transactions de lecture non autorisées.
Problèmes de confidentialité liés à l'utilisation de la RFID :
L'étendue et la nature des problèmes de confidentialité dépendent de l'utilisation prévue. Par exemple, l'utilisation de la technologie RFID pour la gestion des stocks ne devrait pas soulever de problèmes majeurs de confidentialité. En revanche, son utilisation pour suivre les déplacements de personnes à l'intérieur d'un pays peut susciter des inquiétudes chez les personnes concernées. Les principaux problèmes de confidentialité identifiables sont les suivants : (1) Notification. Les individus peuvent ignorer l'utilisation de la technologie RFID à moins d'en être informés. Par conséquent, sans notification, les consommateurs ne peuvent pas savoir que des étiquettes RFID sont apposées sur ou intégrées aux produits qu'ils consultent ou achètent, ni que ces produits sont scannés par des lecteurs RFID dissimulés. (2) Traçabilité. Il s'agit d'une atteinte à l'anonymat, tant dans les espaces publics que privés. Elle implique une surveillance en temps réel ou quasi réel, où les déplacements d'une personne sont suivis grâce à la lecture RFID. Les déplacements des employés d'une entreprise ou des citoyens d'une ville ou d'un pays peuvent ainsi être suivis. (3) Profilage. Cela implique de reconstituer les déplacements ou les transactions d'une personne (par exemple, lors de sa navigation sur Internet) sur une période donnée, généralement pour mieux comprendre ses habitudes, ses goûts ou ses préférences. Les étiquettes RFID contenant des identifiants uniques, une fois qu'une entité étiquetée RFID est associée à un individu, des informations personnelles peuvent être obtenues et agrégées pour établir son profil. Récemment, le profilage fondé sur l'origine ethnique, raciale ou nationale a suscité un vif débat public. Le suivi et le profilage peuvent tous deux porter atteinte à la vie privée et à l'anonymat. (4) Utilisations secondaires. Outre les questions relatives aux utilisations prévues de ces informations, il existe également une inquiétude quant à la possibilité que les organisations développent des utilisations secondaires de ces informations sur les individus ; autrement dit, les informations collectées à une fin précise tendent, avec le temps, à être utilisées à d'autres fins. C'est ce qu'on appelle la « dérive des missions » ou la « dérive des fonctions ». Par exemple, le numéro de sécurité sociale illustre comment un identifiant créé pour un usage spécifique est devenu un élément fondamental de l'identification à de nombreuses autres fins, gouvernementales et non gouvernementales. Les utilisations secondaires du numéro de sécurité sociale n'ont pas été une question de contrôles techniques, mais de priorités administratives et politiques changeantes.
Considérations finales
Notre groupe de recherche travaille depuis plus de quinze ans dans le domaine de la protection de la vie privée, évaluant les risques en la matière en général et les risques liés à la RFID en particulier, et développant des contre-mesures couvrant tous les aspects techniques, humains et organisationnels.
Cet article s'inscrit dans le cadre des activités menées au sein du LEFIS-APTICE (financé par Socrates, Commission européenne).
Littérature
- Areitio, J. « Sécurité de l’information : réseaux, informatique et systèmes d’information ». Cengage Learning-Paraninfo. 2009.
- Areitio, J. « Analyse des systèmes d’auto-identification et d’authentification à deux facteurs : RFID et biométrie ». Conectrónica Magazine. N° 127. Mai 2009.
- Areitio, J. « Analyse des systèmes d’identification automatique RFID ». Gigatronic Magazine. N° 49. Janvier 2008.
- Areitio, J. « Considérations de sécurité relatives à la technologie RFID ». Conectrónica Magazine. N° 105. Mars 2007.
- Cole, PH et Ranasinghe, DC « Systèmes RFID en réseau et cryptographie légère : renforcer les barrières à la contrefaçon de produits ». Springer. 2007.
- Thornton, F. et Lathem, C. « Sécurité RFID ». Syngress. 2006.
- Finkenzeller, K. « Manuel RFID : Identification par radiofréquence. Principes fondamentaux et applications. » John Wiley & Sons. Royaume-Uni. 1999.
Auteur:
Prof. Dr. Javier Areitio Bertolín
Professeur à la Faculté d'ingénierie, ESIDE.
Directeur du groupe de recherche Réseaux et Systèmes,
Université de Deusto.
