Passeport dans du papier aluminium : cette astuce virale protège-t-elle vraiment vos données ?

Après les protège-cartes RFID et autres portefeuilles « anti-piratage », c’est au tour du rouleau de papier aluminium de s’inviter dans les conseils aux voyageurs.

Ces derniers jours, plusieurs médias, dont Euronews et Le Figaro, ont relayé une pratique visible sur TikTok, Reddit et différents forums : envelopper son passeport biométrique dans du papier aluminium afin d’empêcher un tiers de lire clandestinement les informations stockées dans sa puce.

L’objectif serait de se prémunir contre le « skimming », c’est-à-dire la lecture non autorisée, sans contact, d’une puce électronique.

Oui, l’aluminium peut faire obstacle aux ondes

Sur un point, l’astuce repose sur un phénomène bien réel.

Le passeport biométrique contient une puce sans contact, qui communique avec un lecteur par radiofréquence. Lorsqu’un tel composant est suffisamment entouré d’un matériau conducteur comme l’aluminium, les communications radio peuvent être fortement atténuées, voire rendues impossibles.

Envelopper complètement son passeport peut donc effectivement empêcher ou compliquer sa lecture électronique tant que le papier aluminium reste en place.

Le principe n’est d’ailleurs pas nouveau. Des solutions de blindage radiofréquence sont depuis longtemps utilisées pour différents documents ou cartes sans contact.

Mais cela ne signifie pas pour autant qu’un passeport laissé dans une poche ou dans un sac puisse être librement « aspiré » par n’importe quel lecteur passant à proximité.

Une puce qui n’est pas librement accessible

Le risque présenté dans certaines publications sur les réseaux sociaux est beaucoup plus spectaculaire que le fonctionnement réel d’un passeport biométrique.

Comme l’explique l’Organisation de l’aviation civile internationale (OACI), les données des passeports électroniques sont généralement protégées par des mécanismes de contrôle d’accès. Avant d’accéder au contenu de la puce, le système d’inspection doit démontrer qu’il est autorisé à communiquer avec celle-ci.

Historiquement, ce dispositif repose notamment sur le Basic Access Control (BAC). Le lecteur utilise alors les informations figurant dans la zone de lecture automatique du passeport, la MRZ, située au bas de la page d’identité, pour établir la communication sécurisée avec la puce.

Autrement dit, la présence d’une puce sans contact ne signifie pas que son contenu est ouvert à tout lecteur RFID situé à proximité.

L’OACI indique précisément que ces mécanismes ont été conçus pour empêcher le skimming des données de la puce ainsi que l’écoute des communications entre le passeport et le système d’inspection.

Les passeports européens disposent de protections plus récentes

Le BAC n’est par ailleurs plus le seul mécanisme à prendre en compte pour les passeports européens récents.

Afin de renforcer la sécurité des échanges, l’Union européenne a imposé le déploiement du Supplemental Access Control (SAC) reposant sur le protocole PACE (Password Authenticated Connection Establishment).

Dans une décision adoptée en 2011, la Commission européenne avait fixé au 31 décembre 2014 la date limite pour l’implémentation de PACE v2 dans les passeports des États membres.

L’OACI explique que PACE a justement été développé pour remédier aux limites du BAC et offrir une protection cryptographique plus robuste contre l’interception des communications.

Pour les passeports français, le décret relatif aux passeports précise également que le composant électronique comporte des sécurités destinées à protéger son titulaire contre les risques « d’intrusion, de détournement et de modification ».

Et les empreintes digitales ?

C’est probablement l’une des inquiétudes les plus sensibles autour de la lecture clandestine d’un passeport biométrique.

En France, la puce contient les informations inscrites dans le document ainsi que l’image numérisée des empreintes digitales de deux doigts.

Mais toutes les données biométriques ne sont pas accessibles de la même manière.

Les empreintes digitales bénéficient d’un niveau de protection supplémentaire, appelé Extended Access Control (EAC). Ce mécanisme impose notamment que le terminal souhaitant accéder à ces données sensibles soit authentifié et autorisé.

Il ne suffit donc pas de disposer d’un lecteur sans contact pour récupérer discrètement l’ensemble des informations biométriques contenues dans un passeport.

Cette précaution n’a par ailleurs aucun effet sur les visas électroniques (e-Visa) ou les autorisations de voyage électroniques (ETA) : ces autorisations sont enregistrées dans les systèmes des autorités et associées aux données du passeport ; elles ne sont pas stockées dans la puce électronique du document.

Faut-il alors emballer son passeport dans du papier aluminium ?

L’aluminium peut bien empêcher une communication radio avec la puce. Sur le plan strictement technique, l’astuce n’est donc pas complètement infondée.

Son utilité pratique pour un voyageur est cependant beaucoup plus discutable.

Les passeports biométriques intègrent déjà plusieurs barrières destinées à empêcher une lecture non autorisée. L’idée selon laquelle un individu pourrait simplement déambuler dans un aéroport et collecter à distance toutes les données, photographies et empreintes digitales des passeports présents autour de lui ne correspond donc pas au fonctionnement de ces documents.

À l’inverse, envelopper régulièrement son passeport oblige à le manipuler et à le déballer lors des contrôles. Il reste surtout important de ne pas détériorer le livret, la page d’identité ou sa puce, un document endommagé pouvant entraîner des difficultés au moment du voyage.

Et lorsqu’il est question de protection des données personnelles, une précaution beaucoup plus simple reste valable : éviter de diffuser sur les réseaux sociaux, par messagerie ou sur des sites non fiables une photographie complète de la page d’identité de son passeport.