Celui qui acquiert un ordinateur portable ou une tablette robuste pour les administrations, les forces d'intervention ou l'industrie rencontre presque toujours deux termes : lecteur de carte à puce et TPM. Les deux apparaissent régulièrement ensemble dans les caractéristiques de sécurité des appareils robustes, mais remplissent des fonctions différentes. Cet article explique ce que signifient TPM et carte à puce, en quoi l'authentification par carte diffère du mot de passe ou de l'empreinte digitale, pourquoi de nombreux appels d'offres dans le secteur public et l'industrie exigent précisément cette combinaison, comment le chiffrement du disque et le TPM interagissent, et ce qui se passe en cas de perte de l'appareil. Un aperçu des autres mécanismes de sécurité courants sur les ordinateurs portables robustes – notamment le chiffrement SSD selon OPAL 2.0, le verrou Kensington, la conformité NIST-BIOS et le lecteur d'empreintes digitales – est fourni dans l'article (DE) Protection idéale de l'ordinateur portable : 5 fonctions et mécanismes de sécurité comparés. Le présent article se concentre sur les deux composants les plus fréquemment exigés lors des usages terrain avec contrôle d'accès.
Qu'est-ce qu'une puce TPM ?
TPM signifie « Trusted Platform Module » et désigne un petit module à puce physique, installé fixement sur la carte mère, qui fonctionne comme mécanisme de sécurité supplémentaire par rapport au processeur proprement dit. La puce assume plusieurs tâches simultanément : elle est responsable du chiffrement du disque, de la protection contre la manipulation du firmware par des rootkits BIOS, de l'authentification biométrique ainsi que de la transmission de l'état du système lors de l'accès à des services cloud. TPM n'est donc pas une simple méthode de connexion, mais une sorte de coffre-fort sécurisé sur la carte, dans lequel les clés cryptographiques sont stockées et traitées, sans jamais quitter le module en clair.
La version actuelle TPM 2.0 est désormais standard sur pratiquement tous les appareils robustes de la gamme RobustBook. Dans le (DE) Tableau comparatif des ordinateurs portables, TPM 2.0 figure comme ligne propre et est coché pour tous les modèles comparés, de même dans le (DE) Tableau comparatif des tablettes. Chez les appareils Getac également, TPM 2.0 fait partie intégrante de l'équipement de sécurité, par exemple sur le Getac X500, le Getac K120 et le Getac ATEX EX80 conçu pour les zones Ex. Sur le Durabook S14I, la combinaison de lecteur de carte à puce et de TPM est même explicitement listée comme caractéristique de sécurité commune.
Qu'est-ce qu'un lecteur de carte à puce et à quoi sert-il ?
Un lecteur de carte à puce lit une carte à puce physique – par exemple une carte de service, une carte de signature ou une carte de santé – et transmet les données ou certificats qui y sont enregistrés au système d'exploitation ou à une application métier. Contrairement à une simple protection par mot de passe, l'authentification nécessite ainsi la possession d'un objet physique, et pas seulement la connaissance d'une chaîne de caractères.
Dans la gamme RobustBook, le lecteur de carte à puce est disponible sur plusieurs modèles comme module d'extension ou option d'usine. Sur le Durabook R8, un module d'extension avec lecteur de carte à puce peut être choisi – au choix comme simple lecteur de carte, en combinaison avec RFID LF/HF (NFC), avec RFID UHF (NFC) ou avec des ports RS-232/RJ-45 et USB3.2. La même option d'extension est également disponible sur le Durabook R11 et le Durabook R11L. Sur le Durabook S14I, le lecteur de carte à puce peut être commandé comme option d'usine, au choix également en variante installée à l'arrière, et y est explicitement mentionné avec le TPM comme caractéristique de sécurité.
Plusieurs modèles Getac intègrent également le lecteur de carte à puce dans leur équipement de sécurité : le (DE) Getac X500 mentionne TPM 2.0, verrou Kensington, lecteur de carte à puce et lecteur d'empreintes digitales en un seul ensemble. Sur le Getac B360 G3, un lecteur de carte à puce fait partie de l'équipement de base ; sur le (DE) Getac K120 et le (DE) Getac UX10, le lecteur de carte est proposé en option aux côtés d'un lecteur d'empreintes digitales. Le (DE) Getac V110 G3 et le (DE) Getac X600 proposent également TPM 2.0 avec un lecteur d'empreintes digitales ou un lecteur de carte à puce en option. Dans les tableaux comparatifs des ordinateurs portables et des tablettes, le lecteur de carte à puce figure comme ligne propre – de série sur une partie des modèles comparés, en option sur les autres.
Authentification à deux facteurs par carte à puce comparée au mot de passe et à l'empreinte digitale
Lors de l'authentification sur un appareil, on distingue en principe trois types de preuves : ce que quelqu'un sait (un mot de passe ou un code PIN), ce que quelqu'un possède (une carte à puce ou un jeton), et ce que quelqu'un est (une caractéristique biométrique comme une empreinte digitale). Un simple mot de passe ne couvre que le facteur de connaissance et peut être deviné, intercepté ou transmis. Un lecteur d'empreintes digitales offre certes un grand confort, car aucun code ne doit être mémorisé, mais présente aussi, selon sa propre évaluation dans l'article sur les fonctions de sécurité des ordinateurs portables, des faiblesses : des erreurs surviennent occasionnellement lors de la lecture, et les empreintes digitales peuvent en principe être reproduites. Un lecteur d'empreintes digitales seul n'offre donc pas de protection complète pour un usage professionnel.
Une carte à puce, en revanche, répond au facteur de possession : sans la carte physique, personne n'accède au compte, même si un mot de passe était connu. Si la carte est en plus combinée avec un code PIN ou une caractéristique biométrique, on obtient une véritable authentification à deux facteurs, combinant possession et connaissance, ou possession et biométrie. On retrouve exactement cette combinaison sur plusieurs appareils de la gamme : le Getac K120 combine TPM 2.0, reconnaissance faciale Windows Hello et lecteur de carte à puce ou d'empreintes digitales en option, le Getac UX10 mise sur la reconnaissance faciale Windows Hello, TPM 2.0 et un lecteur d'empreintes digitales ou de carte à puce en option. Un mot de passe seul reste, pour tous ces appareils, une composante de l'authentification – la carte ou la caractéristique biométrique s'ajoute comme second facteur indépendant, pas comme remplacement.
Pourquoi les administrations, les forces d'intervention et l'industrie misent sur la carte à puce et le TPM
Dans le secteur public et chez les forces d'intervention, la combinaison de carte à puce et de TPM n'est souvent pas un choix libre, mais une exigence. La page Tablettes et ordinateurs portables militaires le résume brièvement : classes de protection claires selon l'usage, fonctions de sécurité optionnelles comme la carte à puce ou le RFID selon le modèle, et configurations définies. Sur la page Sécurité publique, le lecteur de carte est également cité comme cas d'usage concret dans la saisie de données : la lecture des cartes de santé via le lecteur de carte optionnel, par exemple lors d'interventions de la police, des pompiers ou des services de secours.
La raison en est la nature de ces interventions : les appareils sont utilisés dans un véhicule, sur le lieu d'intervention ou par des équipes qui se relaient, souvent sous pression du temps. Un mot de passe seul ne permet pas de contrôler de manière fiable qui est en train de se connecter – une carte à puce, en revanche, est liée à une personne et peut être retirée simplement lors du changement d'équipe, ce qui verrouille immédiatement l'appareil. Dans l'industrie, il en va de même, par exemple dans les zones à risque d'explosion : le (DE) Getac ATEX EX80 pour zones Ex associe TPM 2.0 à un lecteur RFID HF intégré comme fonctions de sécurité, de sorte que le contrôle d'accès et la certification de zone se retrouvent dans le même appareil.
Chiffrement du disque en interaction avec le TPM
Selon ses propres caractéristiques de sécurité, le TPM est notamment responsable du chiffrement du disque. Concrètement, cela signifie que la clé avec laquelle les données du disque sont chiffrées n'est pas simplement stockée sur le disque lui-même ou dans le système d'exploitation, mais conservée dans la zone de mémoire protégée de la puce TPM. Un attaquant qui retire physiquement le disque et l'installe dans un autre appareil n'accède donc pas facilement à la clé – celle-ci est liée au module TPM concerné, et donc à l'appareil d'origine.
Pour le chiffrement proprement dit du SSD, de nombreux appareils robustes utilisent en plus la norme OPAL 2.0, qui déporte la charge de chiffrement sur le SSD lui-même plutôt que sur le CPU. Le fonctionnement détaillé d'OPAL 2.0 et les limites du chiffrement logiciel sont décrits en détail dans l'article (DE) Protection idéale de l'ordinateur portable. En interaction avec le TPM, il en résulte une protection à plusieurs niveaux : le TPM sécurise la gestion des clés et l'intégrité du firmware au démarrage du système, le chiffrement SSD protège les données proprement dites sur le disque. Le lecteur de carte à puce s'ajoute comme troisième niveau, en déterminant qui obtient réellement l'accès au système déchiffré.
Que se passe-t-il en cas de perte de l'appareil ?
Si un ordinateur portable ou une tablette robuste est perdu ou volé en usage terrain, les mécanismes décrits s'articulent entre eux. Sans la carte à puce correspondante et le code PIN associé ou la caractéristique biométrique, personne n'accède au compte utilisateur – contrairement à un mot de passe, le facteur de possession ne peut pas simplement être deviné ou recopié. Les données stockées sur le disque restent en outre protégées par le chiffrement, dont la clé est liée à la puce TPM. Si l'on tente de manipuler le firmware pour contourner les mécanismes de protection, la protection contre la manipulation du firmware par des rootkits BIOS, ancrée dans le TPM, entre en jeu.
En complément, un verrou Kensington peut rendre plus difficile en amont le vol sans surveillance – les détails de ce mécanisme, ses avantages et ses limites figurent également dans l'article (DE) Protection idéale de l'ordinateur portable. Pour les organisations qui exploitent des appareils avec carte à puce de service, la perte d'un appareil représente en pratique surtout une charge organisationnelle : la carte perdue doit être bloquée et remplacée, tandis que l'appareil lui-même, grâce au chiffrement lié au TPM, n'autorise aucun accès aux données stockées sans la carte.
Quels modèles proposent un lecteur de carte à puce et le TPM ?
TPM 2.0 est systématiquement présent sur les appareils robustes de la gamme, comme le montrent le (DE) Tableau comparatif des ordinateurs portables et le (DE) Tableau comparatif des tablettes. Un lecteur de carte à puce comme module d'extension ou option d'usine est proposé notamment par le Durabook R8, le Durabook R11, le Durabook R11L et le Durabook S14I. Chez Getac, le (DE) Getac X500 et le (DE) Getac K120 intègrent notamment un lecteur de carte à puce dans leur équipement de sécurité ; pour un usage en zones Ex, le (DE) Getac ATEX EX80 avec TPM 2.0 et lecteur RFID entre en ligne de compte. Le modèle qui convient dépend, outre le contrôle d'accès, aussi de l'environnement d'utilisation, de la taille de l'écran et des autres connexions – un aperçu complet de toutes les caractéristiques techniques figure dans les deux tableaux comparatifs.
Comment TPM et lecteur de carte à puce interagissent
TPM et lecteur de carte à puce résolvent deux tâches différentes qui interagissent en usage terrain : la puce TPM gère les clés, sécurise le firmware et participe au chiffrement du disque, tandis que le lecteur de carte à puce fournit le facteur de possession pour une véritable authentification à deux facteurs – une protection que ni un simple mot de passe ni un lecteur d'empreintes digitales seul n'offrent. C'est précisément pour cela que cette combinaison est souvent une exigence, et non un choix, chez les administrations, les forces d'intervention et une partie de l'industrie. Pour le choix concret du modèle, le (DE) Tableau comparatif des ordinateurs portables et le (DE) Tableau comparatif des tablettes fournissent l'aperçu complet de l'équipement TPM et carte à puce par modèle, tandis que l'article (DE) Protection idéale de l'ordinateur portable détaille les autres mécanismes de sécurité comme OPAL 2.0, le verrou Kensington, le NIST-BIOS et le lecteur d'empreintes digitales.
Pour toute question sur le contrôle d'accès adapté à votre domaine d'utilisation, l'équipe RobustBook vous aide volontiers à choisir le modèle approprié.