La carte avec cryptogramme dynamique et clavier

À en croire les médias, la carte avec cryptogramme dynamique, Motion Code, serait l’arme ultime contre les fraudeurs. S’il est indéniable qu’elle contribuera à diminuer la fraude sur Internet, elle ne sera pas la panacée. Un simple vol de carte et les emplettes perdureront  puisque le cryptogramme est lisible pour quiconque détient la carte entre ses mains.

Un moyen simple de renforcer la sécurité de cette carte consiste à vérifier l’identité du porteur avant d’afficher le cryptogramme, par exemple avec l’adjonction d’un mini-clavier. D’ailleurs, Visa puis MasterCard ont déjà parlé de ces nouvelles cartes, il y a déjà plus de 3 ans. À l’époque, sans doute à cause d’un mauvais timing, cela a fait un flop. Mais, suite aux récents succès des cartes Motion Code, il ne serait pas étonnant de les revoir naître de leurs cendres d’ici les prochaines années. Anticipons leur retour et voyons comment elles fonctionnent.

Tout comme pour les cartes à cryptogrammes dynamiques, c’est NagraID Security qui est à l’origine de cette invention. Cela signifie que c’est Oberthur Technologies, qui a racheté la société en septembre 2014, qui aura le plaisir de remettre cette technologie au goût du jour. Mais, pour que la mayonnaise prenne auprès du grand public, le timing devra être parfait et se fera probablement une fois les cartes anciennes générations bien ancrées dans les mœurs.

Fonctionnement

Cette carte est dotée des différents éléments suivants :

• un afficheur LCD ;
• un microcontrôleur ;
• une mémoire ;
• une horloge ;
• un mini-clavier ;
• une batterie.

Afficheur LCD

L’afficheur LCD est l’écran sur lequel s’affiche le code confidentiel (PIN) saisi par le porteur, ainsi que le cryptogramme visuel lorsque le PIN est validé. Ce type d’écran est un très bon compromis entre coût et faible consommation.

Microcontrôleur

Le microcontrôleur est l’orchestrateur de cette belle mécanique. Sous l’impulsion de l’horloge, il permet le contrôle du code tapé sur le mini-clavier, l’envoie à la mémoire pour contrôle du code et éventuellement affiche le cryptogramme fraîchement généré sur l’afficheur LCD.

Mémoire

La mémoire, de type EEPROM, contient l’algorithme de génération du cryptogramme ainsi que l’algorithme de vérification du code confidentiel.

Horloge

L’horloge donne la cadence du mécanisme. Elle permet notamment l’envoi de l’heure en entrée de l’algorithme de génération du cryptogramme. Il est donc nécessaire qu’elle soit bien synchronisée avec le serveur d’autorisation de la banque acquéreur.

Mini-clavier

La nouveauté de cette carte est l’utilisation d’un mini-clavier. Ce clavier permet à l’utilisateur de saisir un code confidentiel.

Et côté sécurité ?

Cette nouvelle génération de cartes répondra à la problématique de perte ou de vol de cartes. En effet, le fraudeur ne connaissant pas le code PIN ne sera pas en mesure de générer un cryptogramme. Cela vous protège donc en cas de fraude sur internet, à l’instar de la carte à cryptogramme dynamique ; mais aussi en cas de vol ou de perte.

Note : cela ne devrait pas complexifier le déroulement d’une transaction 3D Secure. En effet, la vérification de l’identité du porteur, qui sera effectuée lors de la saisie du PIN sur le support, fera office d’authentification du porteur (saisie du code reçu par SMS, etc.).

Une carte sans faille ?

Sur le papier oui. Mais comme souvent, des implémentations techniques en dépendra la sécurité globale. C’est important puisqu’un fraudeur peut regarder les touches du clavier les plus grasses afin de deviner les chiffres composant votre code. Il n’aura alors plus qu’à tester 24 combinaisons pour retrouver la combinaison originale. La carte sera-t-elle donc bloquée en cas de plusieurs essais infructueux ?

Si cette solution semble idéale, il faut noter qu’elle complexifie encore et toujours la cinématique du paiement sur internet. Mais puisque nous sommes déjà habitués à saisir n code PIN pour les achats et retraits, l’adaptation pourrait être plus rapide qu’il n’y paraît. Reste à voir quand Oberthur Technologies sortira cette carte ?

Et demain ?

De nouvelles cartes pourraient encore émerger avec une autre méthode de vérification du porteur pour générer un cryptogramme visuel, comme par exemple la biométrie, le NFC afin de s’assurer que le porteur possède bien le smartphone, etc. Mais, rien de nouveau, ces méthodes nous sont déjà familières.

Publicité