NFC : les fonctions assurées par la Near Field Com­mu­ni­ca­tion

Votre banque vient de vous envoyer une carte bancaire NFC et votre smart­phone assure lui aussi des fonctions NFC, mais vous ne savez pas exac­te­ment à quoi cor­res­pond cet acronyme ? Aucun problème. Voici un aperçu de cette norme de ra­dio­com­mu­ni­ca­tion locale qui fonc­tionne sur le principe de la radio-iden­ti­fi­ca­tion (RFID).

Au quotidien, la NFC permet d’effectuer des opé­ra­tions de paiement sans contact et facilite la connexion à des appareils Bluetooth ou à des réseaux WIFI. Par les autres champs d’ap­pli­ca­tion, notons en par­ti­cu­lier les solutions de domotique et l’Internet des objets. La tech­no­lo­gie NFC offre ainsi des avantages certains, mais elle présente également des problèmes de sécurité et pose la question de la pro­tec­tion des données per­son­nelles. Nous vous proposons ici d’en savoir plus sur les risques liés aux normes de ra­dio­com­mu­ni­ca­tion et sur les exigences de sécurité d’ordre général en matière d’ap­pli­ca­tions NFC.

Qu’est-ce que la NFC ?

La NFC (Near Field Com­mu­ni­ca­tion ou en français CCP pour com­mu­ni­ca­tion en champ proche) est une tech­no­lo­gie de radio-iden­ti­fi­ca­tion (Radio Frequency Iden­ti­fi­ca­tion, RFID) qui permet de trans­mettre des données sans contact à une distance de quelques cen­ti­mètres.

L’un des prin­ci­paux champs d’ap­pli­ca­tion de la fonction NFC, ou CCP, est le paiement sans contact des terminaux de point de vente dis­po­nible dans le commerce de détail ou la res­tau­ra­tion. Outre les cartes bancaires, les smart­phones modernes sont gé­né­ra­le­ment dotés en série de la tech­no­lo­gie NFC. Utilisée en as­so­cia­tion avec d’autres normes de trans­mis­sion, comme le Bluetooth ou le WIFI, la NFC ouvre des pos­si­bi­li­tés con­si­dé­rables, à l’image des tech­no­lo­gies de com­mu­ni­ca­tion de proximité, qui per­met­tent d’effectuer entre deux appareils un échange de données plus rapide, plus souple et plus pratique.

La NFC, comment ça marche ?

La NFC repose sur une tech­no­lo­gie de radio-iden­ti­fi­ca­tion (RFID). Un système RFID est constitué d’au moins un ini­tia­teur (gé­né­ra­le­ment un lecteur/en­re­gis­treur RFID) et de dis­po­si­tifs cibles (appelés trans­pon­deurs) qui reçoivent et traitent le message envoyé par l’ini­tia­teur et y répondent. La trans­mis­sion de données se fait par induction élec­tro­mag­né­tique entre deux antennes en boucle. La distance qui sépare le lecteur RFID du trans­pon­deur est appelée interface d’air. L’objectif de la tech­no­lo­gie RFID est d’iden­ti­fier, d’au­then­ti­fier et de pister des objets ou des personnes. Dans le domaine de la lo­gis­tique, des trans­pon­deurs RFID sont par exemple fixés sur des produits ou des palettes de transport pour assurer le suivi des mar­chan­dises.

La norme in­ter­na­tio­nale NFC précise une méthode de couplage RFID pour le champ élec­tro­mag­né­tique proche. D’après la norme ISO/CEI 18000-3, la fréquence standard pour les systèmes NFC est de 13,56 MHz, soit l’une des bandes ISM hautes dis­po­nibles sans licence dans le monde entier.

La CCP se distingue par la faible portée de sa com­mu­ni­ca­tion. La trans­mis­sion de données par NFC n’est possible que si les antennes d’émission et de réception se trouvent à proximité immédiate l’une de l’autre. Dans la pratique, la distance de fonc­tion­ne­ment entre deux appareils NFC est in­fé­rieure à 10 cen­ti­mètres. Ainsi, une carte bancaire NFC doit être placée di­rec­te­ment sur le lecteur de carte, faute de quoi la tran­sac­tion ne peut être réalisée. Cette portée minimale est prévue de façon à éviter toute connexion in­vo­lon­taire et à con­tri­buer fortement à la sécurité de la norme de ra­dio­com­mu­ni­ca­tion locale.

Dans le cas d’une trans­mis­sion radio par NFC, sur le principe, deux modes de com­mu­ni­ca­tion sont en­vi­sa­geables : le mode passif et le mode actif. Alors que le mode passif permet uni­que­ment une com­mu­ni­ca­tion uni­la­té­rale par laquelle un dis­po­si­tif CCP interroge les données d’un autre dis­po­si­tif, le mode actif assure lui une com­mu­ni­ca­tion bi­di­rec­tion­nelle.

• Mode passif : en mode passif, les lecteurs NFC actifs sont utilisés pour lire les données des trans­pon­deurs passifs. Dans le cadre de ce processus, l’antenne de l’appareil actif produit un champ élec­tro­mag­né­tique à haute fréquence. Lorsqu’un trans­pon­deur passif entre dans le champ à haute fréquence, il est alimenté en énergie pendant une courte période. Il ne produit pas de signal de retour, mais ses données sont trans­mises par mo­du­la­tion du signal d’in­ter­ro­ga­tion. Ce mode est utilisé notamment pour les opé­ra­tions de paiement sans contact. De tels trans­pon­deurs sont ainsi intégrés dans la plupart des cartes de crédit ou de débit.
• Mode actif : si l’ini­tia­teur de la trans­mis­sion radio et le dis­po­si­tif de des­ti­na­tion sont des appareils NFC dotés d’une capacité d’émission, il est possible d’établir une trans­mis­sion en mode actif. Les appareils NFC actifs disposent de leur propre ali­men­ta­tion. Pendant la com­mu­ni­ca­tion, les appareils in­ter­vien­nent l’un après l’autre pour créer un champ à haute fréquence servant à la trans­mis­sion de ses données, avant de le dé­sac­ti­ver dans l’attente d’une réponse.

Le débit de trans­mis­sion des données par CCP est re­la­ti­ve­ment faible, puisqu’il s’effectue à 106, 212 ou 424 ko/s. Dans le cas d’ap­pli­ca­tions im­pli­quant une grande quantité de données, la tech­no­lo­gie NFC est gé­né­ra­le­ment associée à des normes de ra­dio­com­mu­ni­ca­tion comme le Bluetooth, par exemple pour faciliter la connexion des appareils en Bluetooth. La tech­no­lo­gie NFC de paiement sans contact permet également d’établir plus ra­pi­de­ment et plus fa­ci­le­ment la connexion avec un réseau WIFI. Lorsque des données de connexion WIFI sont stockées sur un trans­pon­deur NFC, les uti­li­sa­teurs ne peuvent les lire qu’avec un smart­phone NFC afin de pouvoir se connecter au réseau. Il n’est donc pas né­ces­saire de saisir ma­nuel­le­ment la clef WIFI.

Les fonctions NFC sur smart­phone

Les smart­phones de dernière gé­né­ra­tion sont dotés en série de la fonction NFC. Cette norme de trans­mis­sion de données est notamment soutenue par un géant comme Google, ce qui explique pourquoi tous les smart­phones Android 4.0 sont com­pa­tibles avec la NFC. De son côté, Apple utilise la norme NFC depuis l’iPhone 6, mais ex­clu­si­ve­ment dans le cadre de ses propres services. À ce jour, il reste im­pos­sible d’utiliser l’interface radio locale des appareils Apple pour se connecter à ap­pli­ca­tions tierces.

Modes de fonc­tion­ne­ment de la CCP

Depuis les té­lé­phones portables jusqu’aux tablettes en passant par les montres, bagues et bracelets connectés ou les con­trô­leurs de jeux, de nombreux appareils sont com­pa­tibles avec la NFC. Ils sont gé­né­ra­le­ment conçus pour fonc­tion­ner selon trois modes dif­fé­rents :

• Mode d’émulation de carte NFC
• Mode de lecture/écriture NFC
• Mode peer-to-peer NFC

Mode d’émulation de carte NFC

Un dis­po­si­tif NFC en mode d’émulation de carte se comporte comme un trans­pon­deur passif, par exemple la puce NFC d’une carte de crédit ou de débit. Le mode d’émulation de cartes s’utilise en as­so­cia­tion avec des ap­pli­ca­tions de paiement mobile. Ces ap­pli­ca­tions sont com­pa­tibles avec toutes les cartes de crédit les plus courantes, mais aussi avec certaines cartes de fidélité, cartes cadeau et bons de réduction. L’uti­li­sa­teur sé­lec­tionne sur l’écran la carte concernée et place son appareil NFC sur le terminal de point de vente com­pa­tible avec la NFC, exac­te­ment de la même manière qu’avec une carte de crédit.

Mode de lecture/écriture NFC

En mode de lecture/écriture, c’est le smart­phone ou la tablette CCP qui sert de lecteur/en­re­gis­treur de puce NFC. Des trans­pon­deurs passifs peuvent être insérés dans des éti­quettes sur des em­bal­lages de produits. Si un uti­li­sa­teur place son dis­po­si­tif NFC en mode lecture/écriture à proximité d’un trans­pon­deur de ce genre, il pourra peut le lire et po­ten­tiel­le­ment le décrire avec des données.

Mode peer-to-peer NFC (Com­mu­ni­ca­tion P2P avec d’autres appareils)

Le mode peer-to-peer permet à plusieurs appareils d’échanger des données entre eux. Parmi les systèmes qui proposent cette fonction, on peut notamment citer les appareils portables sous Android Beam. La tech­no­lo­gie NFC peer-to-peer peut également être utilisée dans le domaine des jeux ou dans les ap­pli­ca­tions de bu­reau­tique qui per­met­tent de traiter con­join­te­ment des projets en équipe.

Activer la NFC sur son smart­phone

Sur un smart­phone Android, la fonction CCP peut être activée en quelques étapes.

Étape 1 : ouvrez le tiroir d’ap­pli­ca­tions d’Android, qui vous donne une vue d’ensemble de toutes les ap­pli­ca­tions ins­tal­lées sur votre smart­phone.

Étape 2 : ouvrez l’ap­pli­ca­tion « Pa­ra­mètres » en tapant sur l’icône cor­res­pon­dante.

Étape 3 : sé­lec­tion­ner le menu « Appareils connectés ».

Étape 4 : cliquez sur « Pa­ra­mètres de connexion ».

Étape 5 : cliquez sur l’in­ter­rup­teur pour activer la fonction NFC ou CCP

Quand l’in­ter­rup­teur est en couleur, cela signifie que la fonction NFC est activée.

Cliquez à nouveau sur l’in­ter­rup­teur pour dé­sac­ti­ver la fonction.

Domaines d’ap­pli­ca­tion de la tech­no­lo­gie NFC

La rapidité et la facilité avec laquelle elle permet d’établir des con­nexions fait de la tech­no­lo­gie NFC le choix idéal pour les processus d’iden­ti­fi­ca­tion et d’au­then­ti­fi­ca­tion. Un certain nombre d’ap­pli­ca­tions pratiques sont dis­po­nibles au grand public :

Paiement sans contact

La tech­no­lo­gie NFC permet d’effectuer des paiements par carte sans contact sur des terminaux de point de vente sans qu’il soit né­ces­saire d’insérer la carte de crédit ou de débit dans le lecteur. L’au­then­ti­fi­ca­tion est effectuée grâce aux données bancaires stockées sur une puce intégrée dans la carte. La plupart des cartes bancaires fran­çaises per­met­tent désormais d’effectuer des paiements sans contact via NFC. Les sociétés de cartes de crédit Visa et Mas­ter­card proposent la fonction NFC sous les marques Paypass et Visa payWave. En France, le paiement sans contact, sans code et sans signature est dis­po­nible pour toute somme ne dépassant pas 30 euros. Cela permet d’effectuer ses paiements bien plus ra­pi­de­ment qu’en payant par carte de manière classique. Pour savoir si votre carte bancaire est équipée de la tech­no­lo­gie NFC, regardez si elle porte son logo, qui re­pré­sente ou symbolise gé­né­ra­le­ment une main s’ap­pro­chant d’ondes stylisées.

Paiement mobile

Lors d’un paiement mobile, c’est votre smart­phone qui joue le rôle de carte bancaire. Les ap­pli­ca­tions de paiement mobile comme Google Pay ou Apple Pay vous per­met­tent de stocker vos données bancaires sur votre téléphone portable pour créer une image virtuelle de votre carte bancaire. Ainsi, vous n’avez plus qu’à utiliser votre téléphone NFC à la façon d’une carte de crédit en le po­si­tion­nant sur le lecteur de carte pour lui permettre de lire les données né­ces­saires à l’au­then­ti­fi­ca­tion. Il est gé­né­ra­le­ment né­ces­saire de confirmer la tran­sac­tion en composant un code ou par empreinte digitale.

Billets et titres de transport virtuels

Le billet d’entrée imprimé sur papier pour accéder au cinéma, au musée ou à un concert pourrait bien ap­par­te­nir au passé. Il en va de même pour les titres de transport en commun. Grâce à la NFC, il est possible de lire ra­pi­de­ment et en toute sim­pli­cité un billet élec­tro­nique présent sur votre smart­phone, ce qui rend le recours à un billet en papier tout à fait superflu. Cela met ainsi en con­cur­rence la NFC avec des procédés d’iden­ti­fi­ca­tion optique tels que les codes-barres ou les codes QR.

Contrôle d’accès

Les badges à puce RFID sont devenus om­ni­pré­sents. Ils per­met­tent d’ouvrir votre chambre d’hôtel, ou bien votre casier à la piscine ou à la salle de sport. Les en­tre­prises les utilisent pour contrôler l’accès à des espaces sécurisés, à commencer par leur lieu de travail. Que ce soit pour entrer ou pour sortir, il faut placer le trans­pon­deur RFID situé dans un badge ou un porte-clés à puce devant un terminal ou un capteur prévu à cet effet, ce qui permet d’actionner le mécanisme d’ouverture et de fermeture. À l’avenir, il se pourrait que les smart­phones NFC évitent d’avoir à fournir des trans­pon­deurs sous forme de badge ou autre. Dans ce scénario, votre téléphone portable de­vien­drait une sorte de clé uni­ver­selle pour les systèmes à fermeture élec­tro­nique.

Au­then­ti­fi­ca­tion à deux facteurs

La NFC est également utilisée comme tech­no­lo­gie d’appoint pour les systèmes de sécurité in­for­ma­tique, par exemple accéder à des ap­pli­ca­tions de bureau et sur Internet. Dans ce cas, c’est votre smart­phone ou un objet connecté NFC qui sert d’élément de sécurité sup­plé­men­taire dans le cadre d’une au­then­ti­fi­ca­tion à deux facteurs. Par exemple, l’uti­li­sa­teur peut être invité à saisir un mot de passe, puis à passer l’appareil NFC devant un capteur prévu à cet effet.

Af­fi­chages de prix et éti­quettes élec­tro­niques de gondole NFC

Un trans­pon­deur RFID passif n’est rien d’autre qu’une puce élec­tro­nique dotée d’un con­den­sa­teur et d’une antenne. Les plus petites d’entre elles mesurent quelques mil­li­mètres à peine. En lo­gis­tique et dans le commerce de détail, des puces de ce genre sont intégrées à des éti­quettes collées sur les mar­chan­dises et les em­bal­lages de produits afin de pouvoir faire le suivi de toute la chaîne lo­gis­tique. Le secteur de la publicité bénéficie lui aussi des avantages apportés par les éti­quettes élec­tro­niques NFC. Lorsqu’elles sont in­cor­po­rées à des panneaux d’affichage élec­tro­niques (appelés affiches in­tel­li­gentes, ou smart posters), elles apportent une dimension in­te­rac­tive. Les passants peuvent ainsi lire la puce présente sur l’affiche, avec l’aide de leur smart­phone par exemple, pour obtenir des in­for­ma­tions qui se ré­per­cu­tent dans l’ap­pli­ca­tion installée sur le smart­phone.

Contrôler votre smart­phone par NFC

Avec TecTiles, Samsung propose des au­to­col­lants à puce NFC in­cor­po­rée, qui peuvent être dotés par l’uti­li­sa­teur d’ins­truc­tions destinées à des ap­pli­ca­tions dé­ter­mi­nées. Lorsque le smart­phone de l’uti­li­sa­teur se trouve à proximité de la puce NFC, les commandes pré­pro­gram­mées sont trans­mises et exécutées. TecTiles offre de multiples pos­si­bi­li­tés d’ap­pli­ca­tion : Par exemple, les éti­quettes élec­tro­niques NFC per­met­tent à votre smart­phone de se connecter au­to­ma­ti­que­ment à la radio Bluetooth de votre voiture ou de passer au­to­ma­ti­que­ment sur vibreur lorsque vous arrivez sur votre lieu de travail.

NFC : et la sécurité dans tout ça ?

Ce n’est pas uni­que­ment dans le cadre du paiement sans contact que la question de la sécurité se pose en ce qui concerne la fonction NFC. Ainsi, en principe, un trans­pon­deur peut être lu par n’importe quel appareil NFC. Il en va de même pour les données stockées sur les portables NFC, du moins lorsque la fonction NFC est activée, et ceci sans que l’uti­li­sa­teur ne soit à l’origine de la trans­mis­sion de données ou ne l’autorise ex­pli­ci­te­ment. C’est là tout l’enjeu de la pro­tec­tion des données.

Aujourd’hui, la dis­cus­sion porte sur les risques de sécurité et enjeux de pro­tec­tion des données per­son­nelles suivants :

• risque de perte de cartes bancaires, té­lé­phones portables ou autres objets connectés dotés de la tech­no­lo­gie NFC
• risque de lecture non autorisée par des tiers des données stockées sur une puce NFC
• risque de dé­tour­ne­ment de la trans­mis­sion de données lors des tran­sac­tions de paiement sans contact
• risque d’éta­blis­se­ment de profils de com­por­te­ment, d’uti­li­sa­tion et de dé­pla­ce­ment via les appareils NFC à partir des in­for­ma­tions données sans contact

Le 12 mai 2009, la Com­mis­sion eu­ro­péenne a émis une re­com­man­da­tion 2009/387/CE portant sur la mise en œuvre des principes de respect de la vie privée et de pro­tec­tion des données dans les ap­pli­ca­tions reposant sur l’iden­ti­fi­ca­tion par ra­dio­fré­quence (RFID).

Les exigences iden­ti­fiées peuvent se résumer comme suit :

• Éva­lua­tions d’impact : les États membres doivent veiller à ce que les en­tre­prises, en col­la­bo­ra­tion avec les parties in­té­res­sées de la société civile, élaborent un cadre d’éva­lua­tion de l’impact sur la pro­tec­tion des données et de la vie privée.
• Sécurité de l’in­for­ma­tion : les États membres doivent aider la Com­mis­sion à dé­ter­mi­ner quelles ap­pli­ca­tions pour­raient présenter un risque pour la sécurité de l’in­for­ma­tion ayant des con­sé­quences pour le grand public.
• In­for­ma­tions et trans­pa­rence con­cer­nant l’uti­li­sa­tion de la RFID : les États membres doivent veiller à ce que les ex­ploi­tants élaborent et rendent publique, pour chacune de leurs ap­pli­ca­tions, une politique d’in­for­ma­tion concise, précise et aisément com­pré­hen­sible.
• Ap­pli­ca­tions RFID utilisées dans le commerce de détail: les ex­ploi­tants doivent informer les personnes de la présence d’éti­quettes placées sur les produits ou in­cor­po­rées à ceux-ci.
• Actions de sen­si­bi­li­sa­tion : les États membres, en col­la­bo­ra­tion avec les en­tre­prises, la Com­mis­sion et d’autres parties in­té­res­sées, doivent prendre les mesures ap­pro­priées pour informer les pouvoirs publics et les en­tre­prises, en par­ti­cu­lier les PME, des avantages et des risques po­ten­tiels liés à l’uti­li­sa­tion de la tech­no­lo­gie RFID et pour les y sen­si­bi­li­ser. Il convient d’accorder une attention par­ti­cu­lière aux questions de sécurité de l’informa¬tion et de respect de la vie privée.
• Recherche et dé­ve­lop­pe­ment : les États membres doivent coopérer avec les en­tre­prises, les parties in­té­res­sées de la société civile et la Com­mis­sion pour pro­mou­voir et favoriser l’in­té­gra­tion du principe de « sécurité et respect de la vie privée assurés dès la concep¬tion » à un stade précoce de dé­ve­lop­pe­ment des ap­pli­ca­tions RFID.
• Suivi : les États membres doivent prendre toutes les mesures né­ces­saires pour porter la présente re­com­man­da­tion à la con­nais­sance de toutes les parties con­cer­nées par la concep¬tion et l’ex­ploi­ta­tion d’ap­pli­ca­tions RFID à l’intérieur de la Com­mu­nauté.

En con­sé­quence, tous les éta­blis­se­ments de crédit qui émettent des cartes de crédit ou de débit dotées d’une puce NFC sont incités à informer leurs clients de manière ex­haus­tive et com­pré­hen­sible du trai­te­ment et du stockage dont font l’objet leurs données per­son­nelles dans le cadre du paiement sans contact.

Il est pré­fé­rable que les puces NFC ne four­nis­sent pas de valeurs nu­mé­riques ré­cur­rentes - par exemple des numéros de compte - sus­cep­tibles d’être lues sans contact et donc utilisées à des fins de profilage.

Le con­som­ma­teur doit être spé­ci­fi­que­ment informé des risques liés aux ap­pli­ca­tions de paiement mobile. De plus, les four­nis­seurs d’ap­pli­ca­tions devront fournir des ins­truc­tions sur le com­por­te­ment à adopter pour limiter les risques. Les ap­pli­ca­tions de paiement sans contact par smart­phone doivent im­pé­ra­ti­ve­ment être tenues à jour par leurs four­nis­seurs.

Comment utiliser la NFC en toute sécurité

Dans la pratique, la sécurité des systèmes NFC dépend non seulement des ap­pli­ca­tions qui sont faites des tech­no­lo­gies de com­mu­ni­ca­tion en champ proche, mais aussi de leur uti­li­sa­tion par le con­som­ma­teur final. Pour réduire les risques de sécurité, nous vous invitons à procéder comme suit.

Paiement sans contact avec cartes de crédit ou de débit NFC

• Conservez votre carte bancaire NFC dans un étui de pro­tec­tion qui protège sa puce contre toute lecture non autorisée en bloquant les ondes radio. Ne sortez la carte de son étui que lorsque vous souhaitez effectuer un paiement.
• Contrôlez ré­gu­liè­re­ment les mou­ve­ments sur votre compte bancaire et contactez im­mé­dia­te­ment votre banque en cas d’activité anormale.

Paiement mobile via des ap­pli­ca­tions

• N’activez la fonction NFC de votre téléphone portable que lorsque vous souhaitez utiliser une ap­pli­ca­tion qui utilise cette fonction. Dé­sac­ti­vez la NFC dès que le paiement est effectué avec succès.
• Veillez à ce que le firmware de votre smart­phone et votre ap­pli­ca­tion de paiement mobile soient toujours à jour.
• Utilisez toutes les fonctions de sécurité mises à votre dis­po­si­tion par le four­nis­seur de la solution de paiement, par exemple en utilisant l’au­then­ti­fi­ca­tion par code ou par empreinte digitale.
• Utilisez un code d’accès pour protéger votre appareil portable contre les in­tru­sions de tiers.

En cas de perte de votre carte bancaire NFC ou de votre téléphone portable où est installée une ap­pli­ca­tion de paiement mobile, vous devez agir im­mé­dia­te­ment. Appelez le numéro d’urgence de votre banque pour faire op­po­si­tion.