La sécurité des transactions

Les spécificités des transactions réalisées sur des terminaux « CB »

 

Les exigences de sécurité fixées par le Groupement des Cartes Bancaires « CB » pour les terminaux de paiement sont largement liées aux spécificités du système « CB » : les transactions sont fondées sur l’utilisation de la puce et se font le plus souvent (dans 80 % des cas) sans demande d’autorisation auprès de l’émetteur (mode semi hors ligne).

L’ensemble du parc des terminaux « CB » se conforme aux spécifications fonctionnelles et sécuritaires édictées par le Groupement des Cartes Bancaires « CB » et regroupées dans un manuel, nommé « manuel de référence CB5 » à l’usage en particulier des développeurs des applications logicielles des terminaux. Ce manuel, rédigé par le Groupement des Cartes Bancaires « CB », comporte, sur la base du standard EMV, les spécifications de l’application de paiement CB et les protocoles de communication entre le terminal et le serveur acquéreur (CB2A).

 

Lors d’une transaction, le terminal réalise différents contrôles (technologie de la carte, code devise...) puis authentifie l’application  résidente dans la carte. La vérification du code PIN permet d’authentifier, suivant différentes modalités, le porteur de la carte. Enfin

le terminal effectue une vérification des différents paramètres fixés par la banque acquéreur (montant de la transaction, etc.) selon des conditions fixées par contrat avec son client commerçant, pour décider de poursuivre la transaction hors-ligne ou de

demander une autorisation. Si une autorisation en ligne est requise, la carte génère un cryptogramme qui est transmis sans vérification par le terminal au serveur de l’acquéreur puis à l’émetteur par le biais du réseau « eRSB ». La réponse de l’émetteur, sous forme d’un autre cryptogramme, est transmise au terminal puis à la carte, qui la vérifie.

 

A l’issue de l’autorisation, ou  lorsque aucune autorisation  n’a été demandée, la carte génère un cryptogramme de transaction, qui sera stocké par le terminal. A la fin de chaque journée, le terminal remettra l’ensemble des transactions à l’acquéreur : il s’agit

de la phase de télécollecte.

 

Les demandes d’autorisation sont ainsi protégées par des cryptogrammes variables générés par la carte, transmis et reçus sans interprétation par le terminal et vérifiables par le serveur d’autorisation de la banque émettrice. La banque peut donc s’assurer que

sa carte est présente dans le terminal et qu’il s’agit d’une transaction initiée au moyen de celle-ci.

 

Les risques et leur protection

La compromission de la transaction

Les mécanismes évoqués ci-dessus : traitement local des données, protection des données sensibles par des mécanismes cryptographiques implémentés dans la carte, permettent de minimiser les risques de compromission des transactions sur les terminaux de paiement actuels. En particulier, la duplication, la modification ou la création de fichiers de transactions présentent peu d’intérêt pour les fraudeurs. En effet, ces attaques nécessitent la complicité du commerçant, notamment pour disposer des fonds détournés, et peuvent être facilement détectées.

 

La compromission des données de carte et du code PIN Des fraudeurs pourraient également chercher à capturer des données de pistes magnétiques et le code confidentiel associé en tentant de « piéger » les dialogues entre la carte et le terminal (Le programme Pin Entry Device de Payment Card Industry  (appelé PCI-PED) offre une réponse à ces attaques. Ce programme, défini en commun par Visa et Mastercard, vise à assurer la protection du code confidentiel dans le terminal, depuis sa saisie jusqu’à la

présentation à la carte.

  1. En premier lieu, le code confidentiel doit être chiffré lors de son transport dans le terminal.
  2. En second lieu, le terminal doit être équipé de dispositifs de détection et de réaction (mise hors  service) en cas d’ouverture de celui-ci.

Par ailleurs, la spécification EMV définit un mécanisme de présentation chiffrée du code PIN à la carte qui renforce également la sécurité en ce domaine. Conformément à EMV, le terminal utilise une clé publique de la carte pour chiffrer le code confidentiel. Celui-ci est ensuite transmis chiffré à la carte qui le vérifie à l’aide de la clé privée correspondante. L’écoute de l’échange entre le terminal et la carte ne permet ainsi pas la récupération du code PIN.

 

Source : http://www.banque-france.fr/observatoire/telechar/rap2005_chap3.pdf

 

Bulletin 10 : Normes de sécurité relatives

Télécharger normes bulletin 10.pdf

Bulletin 11 : Normes de sécurité relatives

Télécharger normes bulletin 11.pdf

Bulletin 12 :  Normes de sécurité relatives au paiement sans contact

Télécharger normes bulletin 12.pdf