Ce n'est pas la première fois que Mike Bond, un universitaire de Cambridge, met à mal la sécurité des codes secrets des cartes de crédit. Mais cette fois, plus de calcul statistique, de cassage de clef et autres approches mathématiques. Le procédé, explique BBC Online, ne demande qu'une lampe de chevet utilisée en lumière rasante. Dans bien des cas, précise Mike Bond, cette méthode est suffisante pour pouvoir lire le code pin délivré par la banque, sans bien sûr qu'il soit nécessaire d'ouvrir l'enveloppe. L'autocollant de masquage, le fond noirci sur lequel est imprimé le numéro, tout çà n'empêche pas la révélation de l'information. Et quand bien même l'interprétation serait difficile à l'oeil nu, qu'il suffit de scanner l'enveloppe et de jouer un peu avec les contrastes de l'image -avec Gimp, Photoshop ou tout autre logiciel de traitement graphique- pour voir apparaître les chiffres. Les conclusions de ces recherches, communiquées aux banques britanniques dès 2004, n'ont occasionné aucune modification des procédures d'envoi de code PIN.

Car l'on s'en doute, les porte-parole des banques tentent d'étouffer l'affaire avec des arguments que l'on pourrait trouver amusants s'il ne s'agissait pas des biens propres de leurs clients. A commencer par « ce genre d'attaque est excessivement rare »... après cette révélation par un média national, il y a peu de chance que le procédé demeure confidentiel. En outre, en reconnaissant la rareté de la méthode, les organismes financiers avouent qu'ils ont déjà été confrontés à ce genre de fraude et qu'ils n'ont toujours rien fait pour résoudre le problème. Vient ensuite « Sans la carte de crédit, le code PIN ne sert strictement à rien ». Il semble évident qu'un voleur ayant accès aux lettres expédiées par les banques possède également l'adresse de la victime... et donc la possibilité de disposer de la carte en question. Que ce soit à l'aide d'un tantinet de culot -pardon, de social engineering- ou d'une certaine pratique de la prestidigitation. Point de haute technologie, le coup du foulard suffit. La série de perles la plus admirable est émise par un membre de l'Apacs, qui offre aux lecteurs de BBC Online un éclatant collier : « Il faut garder à l'esprit que les conditions de laboratoire ne peuvent être reproduites dans le monde réel ». Il est vrai que l'achat d'un ordinateur, d'un bon scanner et l'installation d'un Gimp, voir la recherche d'une lampe halogène chez Ikea n'est pas à la portée du premier venu. Et, comme pour achever par un avis apothéotique sans appel, cette même personne affirme « les numéros PIN sont intrinsèquement considérablement plus sûrs que les signatures à la main ». Un non-sens difficilement explicable de la part d'un spécialiste. En effet, le dynamisme d'un paraphe manuscrit est tellement personnel et complexe qu'il est quasiment impossible à reproduire, même après un très long apprentissage. Plus long en tous cas, que la durée nécessaire pour scanner une enveloppe. Las, authentifier une signature avec des moyens électroniques nécessite des capteurs relativement fragiles... Trindel et Crouzet, il y a fort longtemps, avaient envisagé d'équiper quelques billetteries automatiques avec ce genre de mécanisme, mais des actes de vandalisme répétés ont eu raison de cette technologie (zone pilote d'Evry, avant la naissance de la CP8). Bref, les contre-arguments de l'Apacs relèvent plus de la méthode Coué et de l'invocation chamanique que de l'explication technique cartésienne.

Vos commentaires

. Web-profils.com, la place de marché du conseil et de l'ingénierie