Un système de gestion de cartes à puce (en anglais : Smart card management system) est un système permettant de gérer des cartes à puces^[1] tout au long de leur cycle de vie^[2]. Ce système est donc capable d’émettre des cartes, puis de les maintenir pendant leur phase d’utilisation, et enfin de le rendre hors d’usage (fin de vie).

Les cartes à puce fournissent la structure pour sécuriser l’identité électronique, et peuvent être utilisées pour contrôler l’accès à des bâtiments, réseaux ou ordinateurs^[3]. La carte à puce étant l’objet de sécurité permettant d’authentifier son propriétaire (par exemple lors d’une authentification à 2 facteurs), les besoins en matière de sécurité pour un système de gestion de cartes à puce sont souvent élevés et par conséquent les vendeurs de ce type de système se trouvent dans le secteur de la sécurité des systèmes d’information.

Les systèmes de gestion de cartes à puce sont généralement implémentés sous la forme d’applications logicielles. Si le système doit être accessible par plusieurs opérateurs (ce qui est normalement le cas), l’application logicielle est souvent fournie sous la forme d’une application serveur accessible depuis différents systèmes client. Une approche alternative est d’avoir plusieurs systèmes synchronisés.

Les systèmes de gestion de cartes à puce assurent la connexion entre les cartes à puce et d’autres systèmes, le type de système dépendant du cas d’utilisation de la carte à puce. Exemples de systèmes typiques :

• Lecteur de carte à puce connecté^[4] ;
• Lecteur de carte à puce sans contact (RFID) ;
• Imprimante de carte à puce ;
• Annuaire utilisateur ;
• Autorité de certification^[5] ;
• Hardware Security Module ;
• Système de contrôle d’accès physique.

Tout au long du cycle de vie de la carte à puce, celle-ci change d’état (par ex émis, bloqué et révoqué). Le processus de passage d’un état à un autre est la responsabilité principale d’un système de gestion de cartes à puce. Ces processus peuvent être nommés différemment selon le système de gestion utilisé. Voici une liste des noms de processus les plus utilisés^[6] :

• Inscrire – Ajouter une carte au système de gestion de cartes à puce ;
• Émettre – Émets ou personnalise la carte à puce pour un propriétaire ;
• Initier – Active la carte puce afin de pouvoir être utilisé pour la première fois par son propriétaire ;
• Désactiver – Suspend la carte à puce dans le système global ;
• Activer – Réactive la carte à puce depuis l’état désactivé ;
• Bloquer – L’accès à la carte à puce par son propriétaire est impossible ;
• Débloquer – L’accès à la carte à puce par son propriétaire est réactivé ;
• Révoquer – Les certificats de la carte à puce sont rendus invalides ;
• Retirer – La carte à puce est dissociée de son propriétaire ;
• Effacer – La carte à puce est effacée de façon permanente du système ;
• Désinscrire – La carte à puce est efface du système (mais peut potentiellement être réutilisée).

• Schneier, Bruce (1996). "Applied Cryptography," John Wiley & Sons Inc.
• Rankl, Wolfgang & Effing, Wolfgang (2003). "Smart Card Handbook," John Wiley & Sons Ltd
• Wilson, Chuck (2001). "Get Smart," Mullaney Publishing Group
• Hansche, Susan & Berti, John & Hare Chris (2004). "Official (ISC)2 guide to the CISSP exam," Auberbach Publications
• Smart Card Industry Glossary de Smart Card Alliance

• Portail de la sécurité de l’information