Carte à puce, JavaCard, APDU de commande : guide technique

Architecture typique IC carte à puce (~5×5 mm)
──────────────────────────────────────────────
 
            ┌──────────────────────────────┐
            │     CPU 16 ou 32 bits         │
            │  (SLE66/SLE77 Infineon,      │
            │   ST31/ST33 STMicro,         │
            │   S3FS/S3CC Samsung)         │
            └──────────────────────────────┘
                   │
           ┌───────┴───────┐
           │               │
    ┌──────────┐     ┌──────────┐
    │   ROM    │     │   RAM    │
    │ 128-512  │     │  4-16 KB │
    │    KB    │     │          │
    │ (OS)     │     └──────────┘
    └──────────┘
           │               │
    ┌──────────┐     ┌──────────────────┐
    │ EEPROM/  │     │ Crypto            │
    │ Flash    │     │ Co-processor     │
    │ 32-512 KB│     │ (AES, RSA, ECC,  │
    │ (apps,   │     │  SHA, TRNG)      │
    │  data)   │     └──────────────────┘
    └──────────┘
           │
    ┌──────────────────┐
    │  Interface        │
    │  Contact (7816-2) │
    │  OR Sans-contact  │
    │  (ISO 14443 NFC) │
    │  OR Dual          │
    └──────────────────┘

C-APDU — Command Application Protocol Data Unit
────────────────────────────────────────────────
 
┌─────┬─────┬─────┬─────┬─────┬─────────┬─────┐
│ CLA │ INS │ P1  │ P2  │ Lc  │  data   │ Le  │
├─────┼─────┼─────┼─────┼─────┼─────────┼─────┤
│ 1 B │ 1 B │ 1 B │ 1 B │0/1/3│  0-255  │0/1/3│
└─────┴─────┴─────┴─────┴─────┴─────────┴─────┘
 
CLA  — Class byte : classe d'instruction (ex: 00 ISO, 80 propriétaire, CC GlobalPlatform)
INS  — Instruction code : quelle commande (ex: A4 SELECT, B0 READ BINARY, 20 VERIFY)
P1   — Parameter 1 : paramètre spécifique à l'instruction
P2   — Parameter 2 : paramètre spécifique
Lc   — Length command : nombre d'octets data qui suivent (0 si absent)
data — Données de la commande (longueur Lc)
Le   — Length expected : nombre d'octets attendus en réponse (0 = 256)

Commande SELECT par AID — sélectionner une application EMV
──────────────────────────────────────────────────────────
 
C-APDU : 00 A4 04 00 07 A0000000041010 00
 
Décodage :
  CLA   = 00           (ISO 7816-4, pas secure messaging)
  INS   = A4           (SELECT)
  P1    = 04           (sélection par AID)
  P2    = 00           (first occurrence, return FCI)
  Lc    = 07           (7 octets de data qui suivent)
  data  = A0000000041010   (AID MasterCard credit)
  Le    = 00           (256 octets attendus max)
 
Réponse possible :
R-APDU : 6F 2C 84 07 A0000000041010 A5 21 ... 9000
         └─FCI─────────────────────────┘  └SW┘

R-APDU — Response Application Protocol Data Unit
─────────────────────────────────────────────────
 
┌─────────┬─────┬─────┐
│  data   │ SW1 │ SW2 │
├─────────┼─────┼─────┤
│  0-256  │ 1 B │ 1 B │
└─────────┴─────┴─────┘
 
data — Données de réponse (peut être vide selon commande)
SW1  — Status Word byte 1
SW2  — Status Word byte 2

Commandes standard ISO 7816-4 (CLA = 00 typique)
──────────────────────────────────────────────────
 
INS  Nom                          Usage
──────────────────────────────────────────────────
A4   SELECT                       Sélectionner fichier ou application (AID)
B0   READ BINARY                  Lire un fichier transparent
D0   WRITE BINARY                 Écrire dans fichier transparent
D6   UPDATE BINARY                Mettre à jour fichier transparent
B2   READ RECORD                  Lire un enregistrement (fichier linéaire)
DC   UPDATE RECORD                Mettre à jour un enregistrement
E2   APPEND RECORD                Ajouter un enregistrement
20   VERIFY                       Vérifier PIN ou biométrie
24   CHANGE REFERENCE DATA        Changer PIN
2C   RESET RETRY COUNTER          Déblocage PIN (PUK)
84   GET CHALLENGE                Obtenir un défi aléatoire (auth challenge-response)
82   EXTERNAL AUTHENTICATE        Authentifier le terminal à la carte
88   INTERNAL AUTHENTICATE        Authentifier la carte au terminal
CA   GET DATA                     Obtenir donnée par tag
DA   PUT DATA                     Écrire donnée par tag
C0   GET RESPONSE                 Récupérer data après SW 61 xx (T=0)

Séquence typique : authentification PIN puis lecture donnée
────────────────────────────────────────────────────────────
 
1. SELECT application
   → 00 A4 04 00 07 A0000000041010 00
   ← 6F xx ... 9000
 
2. VERIFY PIN (P2 = 01 pour PIN global, data = PIN 4-8 chiffres)
   → 00 20 00 01 04 31323334
   ← 9000                    (PIN correct)
   ou 63 C2                  (incorrect, 2 tentatives restantes)
   ou 69 83                  (carte bloquée)
 
3. READ RECORD (SFI 01, record 01)
   → 00 B2 01 0C 00
   ← 70 xx ... 9000          (data + succès)
 
4. (Optionnel) Seconde opération autorisée tant que la session PIN est ouverte

javacard.framework       Applet, APDU, ISO7816, JCSystem, Util, OwnerPIN, PIN
javacard.security        KeyBuilder, KeyPair, Signature, MessageDigest, RandomData,
                         AESKey, RSAPublicKey, ECKey, DESKey
javacardx.crypto         Cipher (AES, DES, RSA, ECC, ChaCha20 JC 3.1+)
javacardx.framework.util ArrayLogic, IntX (si int supporté)
javacardx.biometry       BioBuilder, BioTemplate
javacard.security.*      Extensions post-quantum ML-KEM/ML-DSA (JavaCard 3.1.1 en draft)

import javacard.framework.*;
 
public class HelloWorldApplet extends Applet {
 
    // Instruction codes propriétaires (CLA = 80)
    private static final byte INS_HELLO = (byte) 0x10;
 
    private final byte[] greeting;
 
    protected HelloWorldApplet() {
        greeting = new byte[] {
            'H', 'e', 'l', 'l', 'o', ' ', 'J', 'a', 'v', 'a', 'C', 'a', 'r', 'd'
        };
        register();
    }
 
    public static void install(byte[] bArray, short bOffset, byte bLength) {
        new HelloWorldApplet();
    }
 
    public void process(APDU apdu) {
        if (selectingApplet()) {
            return;
        }
 
        byte[] buffer = apdu.getBuffer();
        byte cla = buffer[ISO7816.OFFSET_CLA];
        byte ins = buffer[ISO7816.OFFSET_INS];
 
        if (cla != (byte) 0x80) {
            ISOException.throwIt(ISO7816.SW_CLA_NOT_SUPPORTED);
        }
 
        switch (ins) {
            case INS_HELLO:
                sendGreeting(apdu);
                break;
            default:
                ISOException.throwIt(ISO7816.SW_INS_NOT_SUPPORTED);
        }
    }
 
    private void sendGreeting(APDU apdu) {
        byte[] buffer = apdu.getBuffer();
        short len = (short) greeting.length;
        Util.arrayCopy(greeting, (short) 0, buffer, (short) 0, len);
        apdu.setOutgoingAndSend((short) 0, len);
    }
}

# Compilation CAP file avec ant-javacard ou JDK JavaCard Development Kit
ant -f build.xml
 
# Install sur carte via GlobalPlatformPro
gp --install HelloWorldApplet.cap --default
 
# Test avec commande propriétaire 80 10 00 00 0E
echo -n "00a4040007a0000000620101" | python -c "
from smartcard.System import readers
from smartcard.util import toBytes, toHexString
r = readers()[0].createConnection()
r.connect()
apdu = toBytes('80 10 00 00 0E 00')
data, sw1, sw2 = r.transmit(apdu)
print(bytes(data).decode(), hex(sw1), hex(sw2))
"

from smartcard.System import readers
from smartcard.util import toHexString, toBytes
 
# Lister les lecteurs connectés
reader_list = readers()
print(f"Lecteurs disponibles : {len(reader_list)}")
for r in reader_list:
    print(f"  {r}")
 
# Connexion au premier lecteur
reader = reader_list[0]
connection = reader.createConnection()
connection.connect()
 
# ATR (Answer To Reset) — identifiant carte
atr = connection.getATR()
print(f"ATR: {toHexString(atr)}")
 
# SELECT AID Mastercard
select_emv_mc = toBytes("00 A4 04 00 07 A0000000041010 00")
data, sw1, sw2 = connection.transmit(select_emv_mc)
print(f"Response: {toHexString(data)}")
print(f"SW: {sw1:02X} {sw2:02X}")
 
# Si SW = 9000, la carte supporte Mastercard
if sw1 == 0x90 and sw2 == 0x00:
    print("Application EMV Mastercard sélectionnée avec succès")
elif sw1 == 0x6A and sw2 == 0x82:
    print("Pas d'application Mastercard sur cette carte")
 
connection.disconnect()