La Cnil enquête sur la sécurité des cartes sans contact NFC

Suite à des mises en cause publiques de la sécurité des échanges par voie radio entre la carte et le lecteur, la Commission mène des investigations.

Frédéric Bergé

01net.

le 22/05/12 à 11h44

laisser un avis

agrandir la photo

La Cnil (Commission nationale informatique et libertés) a lancé des investigations techniques sur les cartes sans contact à technologie NFC, « afin d'identifier d'éventuels problèmes de sécurité et d'évaluer leurs conséquences en termes d'impact sur la vie privée des porteurs de carte. » La Commission rappelle en effet que la Loi informatique et libertés oblige les organismes mettant en oeuvre des traitements informatiques, à assurer la sécurité des données. L'attention de la Cnil a été attirée par des mises en cause publiques montrant un risque d'interception des données échangées par voie hertzienne entre la carte et son lecteur, notamment à l'occasion de micropaiement. La plus récente de ces accusations et l'une des plus argumentées est celle de Renaud Lifchitz, ingénieur français travaillant pour l'opérateur BT.

Le standard de sécurité EMV inadapté ?

Sa présentation publique, effectuée mi-avril lors de la conférence Hackito Ergo Sum 2012, met en cause certaines cartes bancaires NFC qui, contrairement au Pass Navigo de la RATP ou au passeport RFID, n'utiliseraient pas de technique de chiffrement de données échangées par voie hertzienne. Ses tests montrent qu'il a lui-même pu intercepter des informations concernant le nom et le prénom du titulaire de la carte, la date d'expiration, l'historique des transactions. En pratique, ces interceptions ont été effectuées à très courte distance (de trois à cinq centimètres) mais l'ingénieur français rappelle qu'il est possible d'utiliser des antennes et des amplificateurs plus puissants pour capter ces ondes à plusieurs mètres...Il critique également le standard de sécurité EMV (Europay Mastercard Visa), employé dans les cartes à puce, qui devrait, selon lui, être complètement revu pour être adapté aux transactions sans contact.