X
Le rack. La pièce essentielle de votre infrastructure informatique

News Partenaire

Le rack. La pièce essentielle de votre infrastructure informatique

Protégez et alimentez vos équipements IT grâce au rack le plus polyvalent au monde pour les environnements IT exigeants : le rack NetShelter et les bandeaux de prises rackables APC by Schneider Electric.
Choisissez les racks informatiques et les bandeaux de prises APC pour une tranquillité d'esprit totale !

Les cartes bancaires NFC bonnes pour la poubelle ?

Un consultant sécurité de BT a découvert une incroyable faille dans les cartes bancaires équipées d’une puce NFC (Near Field Communication). De notre point de vue, la seule solution acceptable est de les détruire. Le GIE Cartes Bancaire nuance et parle d'une expérience de laboratoire.  

Cela fait déjà quelques semaines que Renaud Lifchitz, consultant sécurité au sein de British Telecom, tire la sonnette d’alarme durant des conférences ou ateliers qu’il anime. Sûr de ses découvertes, il a ainsi prévenu la Gendarmerie, les ministères des Finances et de l'Intérieur, La CNIL et d’autres organismes pour que des solutions soient trouvées car la faille qui affecte les cartes bancaires n’en est pas une : il s’agit d’un gouffre. Tellement béant qu’on se demande comment on a pu laisser passer une chose pareille. Résumons.

A l’aide d’une clé USB NFC ou encore d’une application pour téléphone mobile Android (une centaine de lignes de code max), il est possible de récupérer l’intégralité des informations d’une carte bancaire, à la seule exception du cryptogramme visuel de 3 chiffres imprimé sur le dos de la carte. Toutefois, le hacker pourra récupérer le nom du porteur de la carte, le numéro d’icelle, sa date d’expiration et le détail des vingt dernières transactions effectuées avec date, pays, montant et devise. Contrairement à ce que prétendent certains, il n’est pas nécessaire de placer la carte à une distance de 3 à 5 cm du lecteur pour capter les informations. Renaud Lifchitz affirme qu’il est possible de se trouver à 1,5m lorsque la carte est passive et 15 mètres lorsqu’elle est active, c'est-à-dire en cours de transaction. Notons que le plus incroyable est que la transaction NFC, elle-même, est sécurisée. « Sur les cartes de paiement NFC, il y a juste signature du paiement par la carte (ce qui ne protège absolument pas les informations de la carte ni du porteur), mais aucune authentification, aucun chiffrement des échanges et il y a de nombreuses informations personnelles», déclare Renaud Lifchitz.

Le plein de cartes bleues dans le métro

D’aucuns ont prétendu qu’il est dès lors possible de cloner la carte par ce procédé. Ce n’est pas tout à fait exact, précise M. Lifchitz. « Il est possible de copier juste une partie de la piste magnétique seulement (partie qui semble varier selon les fabricants de carte). La puce n’est pas clonable par nature car elle contient des secrets cryptographiques « stockés en dur » et non lisibles à l’extérieur ». Il précise également : « Pour moi le risque essentiel n’est pas le clone (difficile à faire fidèlement). Mais surtout la réutilisation frauduleuse des informations de la carte (nom du porteur, numéro de carte, date d’expiration) sur des sites Internet, à l’insu du porteur. La capture active ou passive de ces informations est faisable sur de longues distances (au moins 1,5m et 15m respectivement) absolument sans laisser de traces et sans éveiller les soupçons du porteur. Difficile donc de trouver l’origine de l’attaque (personne, lieu, date, …). Par ailleurs, ça permet de dépasser le plafond des 20€ des paiements sans contact… ». Si l’on se fie aux estimations de M. Lifchitz, une rame de métro bondée pourrait s’avérer un excellent endroit pour faire son plein de numéros de cartes bleues. En effet, précisons que si le cryptogramme visuel est largement demandé en France et en Europe, ce n’est pas le cas sur de nombreux sites de commerce électronique aux Etats-Unis. Sachant que la personne peut se faire dérober ses informations sans s’en rendre compte, les risques sont immenses.

Pour corriger ce problème, il semble que s’inspirer du Pass Navigo est une bonne idée. « Les cartes Navigo sont très  bien conçues niveau sécurité. Aucune information nominative n’est stockée. Il y a authentification mutuelle de la barrière et de la carte (cryptographie symétrique 128 bits), puis échange de clés,  chiffrement et signature des échanges », nous rappelle Renaud Lifchitz.

L’article 34 de la CNIL

Du point de vue légal, il convient de savoir que les cartes bancaires ne sont pas la propriété de leur porteur mais de la banque émettrice comme cela est indiqué au dos. Par ailleurs, soulignons que l’article 34 de la Loi Informatique & Libertés stipule que : « Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. ». En conséquence, les banques sont responsables de ces cartes et pourraient donc être poursuivies par la CNIL non pas pour le risque de hacking mais pour l’exposition de données personnelles.

Dans une interview accordée à PC Inpact, Armand Heslot, ingénieur au sein de la CNIL déclarait que son organisme « pouvait contrôler les établissements bancaires pour savoir si le traitement des données est conforme à la loi ». Notre confrère ajoutait que «  dans le cas contraire, la Commission pourrait demander une mise en demeure de conformité. Si aucun effort n’était fait, elle pourrait demander tout simplement l’arrêt du traitement. ». Contacté par nos soins, Armand Heslot confirme ses propos et ajoute que les banques pourraient également tomber sous les coup de l’article 226-16 du code pénal qui stipule que « le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 Euros d'amende. » Par ailleurs M. Heslot précise que « les industriels devaient réaliser des études d’impact sur la vie privée et qu’il semble que ces études n’aient pas été réalisées ». M. Heslot rappelle enfin que les découvertes de M. Lifchitz posent un double problème : de sécurité et de confidentialité au travers du suivi des personnes et de l’historique des transactions. C’est ce second volet qui est plus précisément regardé par l’organisme.

Direction la poubelle

De notre point de vue, l’arrêt du traitement pourrait signifier la destruction de ces cartes et cela nous semble être la seule solution viable vu l’ampleur de la menace. Par ailleurs, nous recommandons à nos lecteurs équipés de ces cartes de les remplacer par des cartes « ordinaires », même s’il existe d’ores et déjà 100 000 lecteurs NFC en France permettant de régler simplement des montants inférieurs à 20€. L’autre solution consiste à s’équiper d’une cage de Faraday portative, à savoir une enveloppe métallique autour de son portefeuille. Si pour l’instant, il semble qu’aucun exploit n’ait été signalé, la facilité avec laquelle il semble possible de récupérer les informations doit inciter à la prudence. Comme l’indiquait M. Lifchitz « Le problème de sécurité vient de l’utilisation du protocole EMV qui n’est pas fait pour fonctionner en mode sans contact. C’est un problème de conception et non d’implémentation donc il faut revoir la norme… ».

Expériences de laboratoire selon le GIE

Dans cet intervalle, nous pensons qu’il est préférable de surseoir à la délivrance de ces cartes et qu’il convient de remplacer les cartes déjà émises. Nous avons contacté le GIE Cartes Bancaires. (M.A.J. du 26/04) Jean Marc Bornet, Administrateur au sein du GIE relativise la menace."Je ne comprends pas ce buzz autour d'un expérience de laboratoire et d'un risque théorique", explique-t-il. Il indique ensuite qu'aucun moyen de paiement n'est à 100% étanche et met en avant le fait que le client est protégé puisque la banque le remboursera en cas de fraude. Nous lui demandons pourquoi la solution du double PAN (voir ci-dessous) n'a pas été retenue. "C'est une question de coût. Cela aurait renchéri le coût du moyen de paiement et c'est complexe à mettre en oeuvre. Nous devons veiller en permanence à un équilibre entre le coût de l'instrument de paiement et la sécurité. Ce double PAN viendra peut-être mais pas pour le moment ", ajoutant que les Français sont un pays de chèque et qu'ils ne veulent pas dépenser pour leurs moyens de paiement. Il insiste une nouvelle fois sur le caractère innovant de ce produit et rappelle que le client est protégé. "Cela fait partie du métier des banques que de prendre des risques". Chacun appréciera le sens de cette phrase à la lumière de ses relations avec son banquier. Bref, l'organisme ne se déclare pas plus inquiet que cela des risques qualifiés d'extrêmement faibles. Dans un premier temps, un premier interlocuteur nous avait répondu beaucoup plus légèrement semblant considérer que tout cela n'était pas très important. M. Bornet prend plus de précautions par rapport aux travaux de M. Lifchitz. "Nous avons toujours pris ces risques au sérieux. Depuis 25 ans, la puce n'a pas cessé d'être adaptée". 

Pourtant, malgré ce discours plein de bonne volonté, le GIE n'envisage pas de faire quoi que ce soit pour le moment et précise que les banques vont peut-être diffuser des enveloppes métalliques destinées à contenir le risque. Point. Quant au terme d'expérience de laboratoire, laissons plutôt la parole à Renaud Lifchitz que nous avons recontacté hier soir. Voilà ce qu'il nous a précisé"J’ai fait mes démonstrations en direct devant 400 personnes avec du matériel disponible partout à 40€. J’ai rendu le code source de mon application (version bureau) disponible pour tous, pour que ce soit vérifiable et vérifié par un maximum de gens. Les spécifications EMV confirment que l’accès à ces informations n’est ni authentifié, ni chiffré. J’étais vendredi dernier à la Police Scientifique (IRCGN), qui m’ont demandé de venir pour échanger sur le sujet (eux sont préoccupés par les risques de fraude). Ils ont reproduit chez eux l’ensemble de mes observations avec du matériel similaire et étudient maintenant d’autres attaques et risques. Quant à l’écoute passive d’une transaction de paiement, elle ne nécessite pas plus de 300€ pour un récepteur radio qu’on trouve dans n’importe quelle boutique de radioamateur. On atteint sans problème les 15 mètres de portée avec ce type de matériel, sans antenne particulière (une bête antenne FM d’un vieux poste de radio). Les arguments de distance et de matériel coûteux ne tiennent pas très longtemps à l’examen…".  A chacun de se faire son opinion sur le côté "laboratoire" des tests pratiqués.

Au sujet de la campagne présidentielle, l'hebdomadaire anglais The Economist titrait sur le déni de réalité dont semblaient faire preuve les candidats à la magistrature suprême. Nous nous demandons si le GIE Cartes bancaires n'est pas dans le même genre de déni face au dysfonctionnements de ces cartes.

Des préconisations oubliées

Comme nous l'indiquons plus haut, l'idée de double PAN a fait l'objet de tergiversations. Dans son rapport 2009 publié en juillet 2010, l'observatoire de la sécurité des cartes de paiement recommandait la mise en place d'un PAN (Personal Authentification Number) spécifique pour la partie plastique et un autre pour la partie NFC. De la sorte, le vol ou la divulgation du PAN NFC n'aurait a priori pas été utilisable pour des opérations de commerce électronique. Cependant, dans la version 2010 du même rapport publiée en juillet 2011, on ne retrouve plus cette préconisation. Les tests menés par M. Lifchitz montrent qu'un seul numéro figure sur la carte et la puce NFC. Ceci signifie que tout le travail est à reprendre. Et nous pouvons même remonter à 2003 pour voir que le problème a été identifié voici fort longtemps. Voilà ce qui, selon l'Observatoire, était prévu : "Dans le cas particulier des porte-monnaie électroniques, les paiements sont protégés grâce à un dialogue sécurisé entre la carte du porteur et un module de sécurité installé dans le terminal du commerçant. Ce dialogue se caractérise par une authentification mutuelle entre les différents composants (cartes, terminaux et serveurs centraux) reposant sur des techniques cryptographiques. Après cette authentification, le porte-monnaie est débité du montant de la transaction et le terminal du commerçant est crédité du même montant. D’autres dispositifs sécuritaires permettent de détecter une anomalie sur un porte-monnaie électronique et d’en empêcher éventuellement l’utilisation."

Rappelons enfin qu’une étude menée par l’IFOP au mois de janvier dernier indiquait que près de 2 français sur 3 étaient assez ou résolument opposés au paiement sans contact. A la découverte de ces failles, on constate que les Français sont parfois fort clairvoyants, même si c'est de manière intuitive.


Inscription gratuite à la newsletter de L'Informaticien.


Noter cet article (de 1 = Nul à 5 = Excellent) Valider
Autres infos Sécurité

Certifications Datacenters

Certifications Datacenters

Si longtemps la réputation d’un centre de données s’est limitée au seul critère de continuité de service, de nouvelles caractéristiques ont aujourd’hui pris de l’importance,...

Que deviennent les DataLabs ?

Que deviennent les DataLabs ?

Lancés en pleine vague Big Data afin d’aider les organisations à entrer dans l’ère de la donnée, les DataLabs doivent aujourd’hui évoluer. Fini “ l’usine à poc ”,...

Processeurs

Processeurs

Avec la promesse d’une performance multipliée par deux, la nouvelle génération de microprocesseurs AMD pour serveurs a de quoi faire bouger les lignes, notamment auprès d’opérateurs de services...

RSS
Afficher tous les dossiers

VILLE NUMÉRIQUE : la transfo d'Issy-les-Moulineaux - Comment le Stockage s'unifie - Brexit : quelles conséquences pour l'industrie numérique ? - Google a-t-il vraiment atteint la suprématie quantique ? - La cyberprotection des sites industriels en question - PowerShell DSC - Epitech Digital...

 

CYBERSÉCURITÉ : Faut-il externaliser son SOC - Datacenters : des certifications pour y voir plus clair - Organisez vos workflows avec GitHub Actions - Transfo : pour l'agriculture, la rentabilité avant tout ! - Que deviennent les DataLabs ? - Emploi : la transformation numérique bouscule les recrutements des ESN...

 

TRANSFO NUMÉRIQUE : Schumpeter ou Solow ?... Destruction créatrice ou réorganisation ? - Cybersécurité : le modèle Zero trust - Les recettes tech de Meero - Devops : l'open source entre dans la normalité - Processeurs : AMD se détache ! - Infrastructure as Code : l'IAC avec Terraform - Emploi : Que valent les plates-formes pour freelances ?...

 

Afficher tous les derniers numéros
Les entreprises et les organismes publics se focalisent aujourd’hui sur la transformation numérique. En conséquence, les DevOps et l’agilité sont au premier plan des discussions autour des stratégies informatiques. Pour offrir ces deux avantages, les entreprises travaillent de plus en plus avec les fournisseurs de services de cloud public et développent désormais des clouds sur site à partir d’une infrastructure qui répond à trois exigences de base:
1. Agilité sans friction des ressources physiques
2. Systèmes de contrôle optimisant l'utilisation des ressources physiques et offrant un retour sur investissement maximal
3. Intégration des divers composants de l'infrastructure pour un provisionnement et une gestion des ressources automatisés.


Pour fonctionner, votre entreprise doit pouvoir compter sur une solution de sauvegarde efficace, essentielle dans un monde marqué par une croissance exponentielle des données. Vous devez à la fois accélérer vos sauvegardes et pouvoir y accéder plus rapidement pour satisfaire les exigences actuelles de continuité d’activité, disponibilité, protection des données et conformité réglementaire. Dans cette ère de croissance effrénée, les cibles sur bande hors site et autres approches traditionnelles sont simplement dépassées.


L’Intelligence Artificielle promet de révolutionner la perception de la cybersécurité au coeur des entreprises, mais pas uniquement. Ce changement de paradigme engage, en effet, une redéfinition complète des règles du jeu pour les DSI et les RSSI, ainsi que l’ensemble des acteurs de la sécurité.


Lorsque l'on déploie des postes de travail, ils ont généralement tous la même configuration matérielle et logicielle (avec certaines spécificités selon les services). Mais on ne peut pas toujours tout prévoir et il arrive par exemple que de nouveaux programmes doivent être installés ou n’aient pas été prévus. L’accumulation de logiciels « lourds » est susceptible de provoquer des lenteurs significatives sur un PC allant jusqu’à l’extinction nette de l’application. Ce livre blanc explique comment optimiser les performances au travers de 5 conseils rapides à mettre en place.


Ce guide est conçu pour aider les entreprises à évaluer les solutions de sécurité des terminaux. Il peut être utilisé par les membres de l'équipe de réponse aux incidents et des opérations de sécurité travaillant avec des outils de sécurité des points finaux sur une base quotidienne. Il peut également être utilisé par les responsables informatiques, les professionnels de la sécurité, les responsables de la conformité et d’autres personnes pour évaluer leurs performances. les capacités de l’entreprise en matière de cybersécurité, identifier les lacunes dans la sécurité des terminaux et sélectionner les bons produits pour combler ces lacunes.


Tous les Livres Blancs
Derniers commentaires
Des passants près d'une caméra de surveillance installée sur Oxford Street à Londres, le 16 août 2019L'expérience était menée en toute discrétion. Entre 2016 et 2018, deux caméras de surveillance installées dans le quartier londonien de King's Cross analysaient les visages des passants sans les prévenir par reconnaissance faciale, pouvant les identifier et ainsi suivre leurs mouvements. [Lire la dépêche...]

Des visiteurs jouent en ligne sur le stand de Google qui lance Stadia sa plateforme de jeux vidéos sur le cloud, lors d'un évènement à Cologne, le 21 août 2019Google n'est pas le premier grand groupe à se lancer dans le "cloud gaming", mais il est certainement le plus attendu, car son succès, ou son échec, déterminera le futur proche de ce marché balbutiant - celui des jeux vidéo libérés des contraintes matérielles. [Lire la dépêche...]

Une participante au Gamescon de Cologne joue sur la plateforme Stadia de Google, le 21 août 2019De Tetris à Assassin's Creed en passant par Fortnite, les jeux vidéo sont devenus plus beaux et plus complexes. Les joueurs sont partout, dans le métro avec des passe-temps sur téléphone, dans le salon via une console pour jouer en réseau avec ses amis, et sur l'ordinateur, plongés dans des jeux immersifs en haute définition. [Lire la dépêche...]

Deux toiles du collectif français Obvious, réalisées avec l'utilisation de l'intelligence artificielle, ont été vendues vendredi chez Sotheby's à des prix très inférieurs à celui d'un de leurs précédents tableaux, parti pour 432.500 dollars l'an dernier. [Lire la dépêche...]

Twitter announced it would exmpt some Twitter a indiqué vendredi qu'il allait exempter les bonnes causes, comme la défense de l'environnement ou la promotion de l'égalité sociale, de son interdiction de passer des publicités politiques sur le réseau. [Lire la dépêche...]

Le service de paiement Apple Pay, lancé en 2014 aux Etats-Unis et présent depuis dans toute l'UE, est étudié avec attention par la Commission européenne, qui soupçonne l'américain d'enfreindre les règles de la concurrenceLe service de paiement Apple Pay, lancé en 2014 aux Etats-Unis et présent depuis dans toute l'UE, est étudié avec attention par la Commission européenne, qui soupçonne l'américain d'enfreindre les règles de la concurrence, ont affirmé vendredi plusieurs sources à l'AFP. [Lire la dépêche...]

Alibaba is one of the world's most valuable companiesNée dans un modeste appartement de Hangzhou en 1999, Alibaba a nourri l'appétit insatiable des Chinois pour le commerce en ligne en devenant l'une des entreprises les plus prospères au monde, rattrapant peu à peu son modèle et rival, le géant américain Amazon.  [Lire la dépêche...]

Une démonstration d'un système de reconnaissance faciale dans la foule au salon CES de l'électronique grand public à Las Vegas le 10 janvier 2019Comment éviter de tomber dans une société entre "Black Mirror" et "Big Brother"? La commission nationale informatique et libertés (Cnil) a dessiné vendredi des "lignes rouges" à ne pas franchir dans l'utilisation de la reconnaissance faciale, en matière de respect de la vie privée des citoyens notamment. [Lire la dépêche...]

Toutes les dépêches AFP
AgendaIT

DREAMFORCE

Salesforce convie ses utilisateurs et partenaires à sa conférence annuelle Dreamforce du 19 au 22 novembre 2019 à San Francisco (Moscone Center). Organisée par Salesforce.
Le WINDEV TOUR 25 est une série de séminaires professionnels gratuits autour de 25 sujets sur les produits WINDEV 25, WEBDEV 25 et WINDEV Mobile 25 dans 12 villes (France, Belgique, Suisse, Canada). Étape à Bruxelles (Braine-l'Alleud) le mardi 19 novembre de 13h45 à 17h30. Organisé par PC Soft.
Le WINDEV TOUR 25 est une série de séminaires professionnels gratuits autour de 25 sujets sur les produits WINDEV 25, WEBDEV 25 et WINDEV Mobile 25 dans 12 villes (France, Belgique, Suisse, Canada). Étape à Lille (Lomme) le mercredi 20 novembre de 13h45 à 17h30. Organisé par PC Soft.
Le WINDEV TOUR 25 est une série de séminaires professionnels gratuits autour de 25 sujets sur les produits WINDEV 25, WEBDEV 25 et WINDEV Mobile 25 dans 12 villes (France, Belgique, Suisse, Canada). Étape à Paris (UGC Normandie) le jeudi 21 novembre de 13h45 à 17h30. Organisé par PC Soft.

MAKER FAIRE

Du 22 au 24 novembre 2019, la Cité des sciences et de l’industrie à Paris accueille pour la Maker Faire Paris. Organisée par Leroy Merlin.

TRUSTECH

Cet événement international dédié aux paiements, à l'identification et à la sécurité est organisé à Cannes du 26 au 28 novembre 2019. Organisé par Comexposium.

RSS
Voir tout l'AgendaIT