Saint-Martin - Commune de l'Astarac dans le Gers

Aller sur la page Facebook de Saint-Martin

Sécurité

Si votre banquier vous propose une nouvelle carte bancaire sans contact, réfléchissez à deux fois avant d'accepter son offre. Ce nouveau type de carte peut être piratée en quelques secondes. C'est Renaud Lifchitz, ingénieur sécurité chez BT mais également membre de l’ARCSI (Association des Réservistes du Chiffre et de la Sécurité de l’Information) qui a soulevé ce problème.

Renaud Lifchitz est un brillant informaticien qui a fait parti de l'équipe de développeurs de la société Ingeniweb que j'ai fondé et dirigé dans les années 2000 avec Olivier Deckmyn.

Renaud a pu démontrer qu'un piratage est possible depuis une simple clé USB NFC (les cartes sans contact utilisent cette technologie) ou grâce à un smartphone avec puce NFC.

Une clé USB NFC comme la SCM SCL3711 coute moins de 40 euros. On en trouve partout sur le Net même si les ventes s'accélèrent en ce moment (et pour cause) !

Pour les smartphones, voici quelques modèles avec puce NFC : Samsung Nexus S, Samsung Galaxy Nexus, BlackBerry Bold 9900/9930, BlackBerry Curve 9350/9360/9370 ou encore Nokia N9/C7/603 (amusant de noter que le dernier Iphone 5 n'a pas de puce NFC).

Lors des GS Days 2012 (Journées Francophones de la Sécurité de l'Information), Renaud a utilisé une simple clé USB NFC (Near Field Communication). À l’aide d’une petite application développée pour l’occasion, la clé USB a pu interpréter le signal émis par la carte placée juste à côté. En quelques secondes, il a récupéré sur la carte les informations suivantes : nom, prénom, numéro de la carte bancaire, date d’expiration et même la liste des vingt dernières opérations effectuées, incluant le pays, la devise, le montant et la date. (ci-dessous, l'intervention de Renaud à la conférence "Hackito Ergo Sum" - attention c'est en anglais).

Video en Anglais streaming par Ustream

Un logiciel à la disposition de tous sur Internet permet de faire parler ces nouvelles cartes. En effet, les échanges ne sont pas chiffrés et n'exigent aucune authentification.

Par conséquent, le programme peut facilement afficher les informations liées à la carte : le nom du porteur, le numéro de la carte et les dernières transactions (avec date, montant et devise !).

Le piratage peut aller plus loin : Renaud Lifchitz a montré qu'il est également en mesure d'accéder au contenu de la bande magnétique de la carte, toujours grâce à la technologie sans fil. Les conséquences sont alors bien plus graves car il devient possible de cloner la carte. Un procédé qui n'est possible sur les anciennes cartes qu'avec un lecteur spécifique capable de lire la bande.

Bien sûr, le principe même d'une carte bancaire sans fil est l'échange d'information à faible distance (pour la démonstration, il faut être à moins de 5 cm). Sauf qu'en amplifiant le signal, le champ d'action augmente et il est alors possible de récupérer des informations à la volée et n'importe où : dans la rue, les transports, etc.

Par exemple, avec un ampli et une antenne de 50 cm, la distance pour capter passe à 1,50m. Mais il y a pire : Avec une antenne passive, on peut capter un signal lors d’un paiement jusqu’à 15 mètres. Une simple antenne radio FM peut suffire, même si ce n’est pas idéal. On obtient alors les numéros de cartes complets ainsi que les dates d’expiration.

La CNIL a indiqué en mai mener des investigations sur la sécurité de ces cartes, une expertise qui n'est pas encore achevée aujourd'hui. D'ici la fin de son enquête, VISA, la société à l'origine des cartes justifie l'absence de chiffrement par le fait que les numéros de la carte sont inscrits sur la carte et donc récupérable à l’œil. Un argument quelque peu léger, nuancé par l'annonce d'une nouvelle génération de carte d'ici un ou deux ans qui seront cette fois équipés d'un pare-feu afin de garantir la sécurité des données.

Si toutefois vous avez déjà changé pour une carte bancaire sans contact, la meilleure sécurité est d'utiliser un portefeuille en aluminium afin de profiter de l'effet « cage de Faraday » et éviter que les puces ne puissent communiquer.

Pour ma part, je n'ai pas de carte bancaire NFC et je refuserai d'en avoir une... Faites pareil !
Je refuse de me balader dans la rue avec mon numéro de Carte Bancaire collé sur le front.

Ci-dessous une vidéo en Francais de Renaud Lifchitz

Ci-dessous un reportage passé sur BFM TV.

Excellent article d'Amélie Charnay paru dans Micro-Hebdo

Pour aller plus loin, ci-dessous la présentation faite en Avril 2012 par Renaud Lifchitz (en anglais)

Hes2012 Bt Contact Less Payments In Security

Publié le 13/09/2012 par webmaster@astarac.fr

» Le village

Saint-Martin Village du Gers au coeur de l'Astarac	Rechercher :
Les actualités Le village Guide pratique Bons Plans Contact Plan du Site Zone Privée