nos newsletters
Abonnez-vous à Micro Hebdo : 1,23€ / n°
Abonnez-vous à l'Ordinateur Individuel : 3 €/mois
Abonnez-vous à 01Business et Technologies : 3,20€ / n°
Abonnez-vous à la version digitale
La Banque Populaire s'attaque au vol de mot de passe
L'établissement va proposer à 400 000 de ses clients de s'équiper gratuitement d'un terminal dédié qui, en générant un mot de passe dynamique à usage unique, permettra de sécuriser leurs transactions.
Contrecarrer le vol de mot de passe et le phishing. C'est tout l'enjeu de la solution d'authentification déployée par Banque Populaire auprès de ses clients depuis le début de l'année. Au cours du premier trimestre, l'établissement va
distribuer gratuitement 400 000 lecteurs de cartes bancaires Vericode, qui serviront de sésame aux utilisateurs de ses services de banque en ligne. L'idée n'est pas nouvelle, mais c'est la première fois en France qu'une telle solution est
déployée sur cette échelle auprès du grand public.
Le fonctionnement du système mis au point par la société Xiring est simple : lorsqu'il souhaite accéder à ses comptes et réaliser certaines opérations sensibles (comme un virement), l'utilisateur insère sa carte bancaire
dans le Vericode et saisit son code PIN sur le clavier du lecteur. La puce de sa carte bancaire génère un mot de passe à huit chiffres valable une seule fois, qui s'affiche sur l'écran du Vericode.
Pour entrer sur le site de la banque ou valider une opération, l'utilisateur doit impérativement saisir ce mot de passe temporaire. Impossible pour un pirate, dans ces conditions, d'usurper l'identité d'un client, à moins de lui avoir
subtilisé sa carte bancaire et de disposer d'un Vericode.
Sécuriser les achats en ligne
Au-delà des opérations de banque en ligne, Banque Populaire envisage d'étendre cette solution aux achats en ligne vers la fin du premier semestre. L'objectif est, concernant les achats sur Internet, ' de suivre le
même mode opératoire que pour ceux effectués chez le commerçant de proximité ', explique la banque.
Il faudra en effet glisser sa carte bancaire dans le Vericode et saisr son code PIN pour valider son achat. La solution sera déployée auprès des cybermarchands faisant appel à la plate-forme de paiement en ligne de Banque Populaire.
Seuls les internautes clients de la banque seront soumis à ce contrôle supplémentaire.
En Europe, près de 20 millions d'utilisateurs sont déjà équipés de solutions d'authentification forte telles que celle déployée aujourd'hui par la banque française. En Grande-Bretagne, un établissement comme la Barclay's clame haut et
fort que l'adoption de ce type de solution réduit à néant les cas de fraudes dans les transactions en ligne.
Le fait que les banques se préoccupent de la sécurité des transactions bancaires de leurs clients n'est pas vraiment nouveau. Mais la percée effectuée aujourd'hui par les systèmes d'authentification forte sur le marché grand public
intervient dans un contexte très particulier, marqué par l'adoption de la norme 3D Secure qui, au niveau de la prise en charge de la fraude, induit un transfert de responsabilité : auparavant, en cas de fraude, la banque était tenue de
rembourser le porteur de la carte de crédit utilisée de manière frauduleuse. Mais l'organisme avait la possibilité de se retourner vers la banque du commerçant qui elle-même pouvait se retourner in fine vers le commerçant. A
partir d'aujourd'hui, tout cela n'est plus possible. Dorénavant, seule la banque du porteur de la carte est responsable financièrement.
Il y a peu, certaines banques avaient pris l'initiative de mettre en place un niveau de sécurisation supplémentaire, en demandant aux internautes qui achètent en ligne de valider la transaction en indiquant leur
date de naissance. La prochaine étape sera le déploiement à grande échelle de ces solutions d'authentification forte
qui n'étaient jusqu'ici utilisées dans les banques que par des professionnels pour effectuer par exemple des transferts de fond.
envoyer
par mail
par mail
imprimer
l'article
l'article
Actu précédente
Avis sur «La Banque Populaire s'attaque au vol de mot de passe»
Crédit Mutuel
de
jo567
, posté le 29 janvier 2009 à 21h20
Ça fait très longtemps (au moins depuis que j'utilise le service, cad min 3ans) que le crédit mutuel propose un système de sécurité supplémentaire, via une carte de "clés personnelles". Celle-ci contient une soixantaine de codes demandés aléatoirement, en plus de l'identifiant et du mot de passe, pour les virements et la génération de cartes virtuelles temporaires(achats sur internet).
Elle est changée gratuitement, et aucun pirate ne peut deviner le code demandé, puisqu'il est unique: si le code A7 demandé pour valider un virement est erroné, ce sera le code F2 qui sera demandé et ainsi de suite...(pas de brute force possible).
La BP est en retard et utilise un moyen onéreux, qu'elle fera payer à travers l'augmentation des couts globaux de ses autres services...
Ce n'est pas une révolution, c'est un mauvais choix technique, et c'est seulement aujourd'hui qu'ils réagissent! Nos économies sont décidément bien mal placées !
Elle est changée gratuitement, et aucun pirate ne peut deviner le code demandé, puisqu'il est unique: si le code A7 demandé pour valider un virement est erroné, ce sera le code F2 qui sera demandé et ainsi de suite...(pas de brute force possible).
La BP est en retard et utilise un moyen onéreux, qu'elle fera payer à travers l'augmentation des couts globaux de ses autres services...
Ce n'est pas une révolution, c'est un mauvais choix technique, et c'est seulement aujourd'hui qu'ils réagissent! Nos économies sont décidément bien mal placées !
alerter le modérateur
sauf que...
de
puppet_master87
, posté le 30 janvier 2009 à 09h29
"La BP est en retard et utilise un moyen onéreux, qu'elle fera payer à travers l'augmentation des couts globaux de ses autres services...
Ce n'est pas une révolution, c'est un mauvais choix technique, et c'est seulement aujourd'hui qu'ils réagissent! Nos économies sont décidément bien mal placées !"
Sauf que...celà fait des années que la BP dispose de l'e-carte bleue. Une pseudo carte qui permet de générer un numéro UNIQUE à fournir en lieu et place du numéro de carte à chaque transaction...
Concernant le tarif il s'agit d'un forfait mensuel abordable (je n'ai pas le montant en tête) et inclus une assurance "livraison"...
Ce service n'est pas la propriété de la BP...
Il devient difficile de dénigrer un effort de recherche de solutions de sécurité supplémentaire non? ;)
Ce n'est pas une révolution, c'est un mauvais choix technique, et c'est seulement aujourd'hui qu'ils réagissent! Nos économies sont décidément bien mal placées !"
Sauf que...celà fait des années que la BP dispose de l'e-carte bleue. Une pseudo carte qui permet de générer un numéro UNIQUE à fournir en lieu et place du numéro de carte à chaque transaction...
Concernant le tarif il s'agit d'un forfait mensuel abordable (je n'ai pas le montant en tête) et inclus une assurance "livraison"...
Ce service n'est pas la propriété de la BP...
Il devient difficile de dénigrer un effort de recherche de solutions de sécurité supplémentaire non? ;)
alerter le modérateur
ok, mais...
de
jo567
, posté le 30 janvier 2009 à 12h54
... pourquoi faire simple quand on peut faire compliqué ?
De forfaits "abordable"s en prix dérisoires, les banques nous facturent de plus en plus de choses...
De plus, si ce n'est pas la propriété de BP, quid de la reponsabilité en cas de pb (un pirate qui hack le fonctionnement du terminal peut du coup pirater qui il veut, si le système est mal conçu... Et je ne fais aucune confiance à ceux qui ont inventé l'impiratable carte à puce de CB).
Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée (et je suppose réservée à windows) sinon dans un but marketing (pub) et pour faire du cash ?
De forfaits "abordable"s en prix dérisoires, les banques nous facturent de plus en plus de choses...
De plus, si ce n'est pas la propriété de BP, quid de la reponsabilité en cas de pb (un pirate qui hack le fonctionnement du terminal peut du coup pirater qui il veut, si le système est mal conçu... Et je ne fais aucune confiance à ceux qui ont inventé l'impiratable carte à puce de CB).
Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée (et je suppose réservée à windows) sinon dans un but marketing (pub) et pour faire du cash ?
alerter le modérateur
Reveillez vous
de
seeeeki
, posté le 30 janvier 2009 à 15h07
"un pirate qui hack le fonctionnement du terminal peut du coup pirater qui il veut, si le système est mal conçu... Et je ne fais aucune confiance à ceux qui ont inventé l'impiratable carte à puce de CB"
Il faut arrêter d'aller au ciné ...
On voit bien que vous ne saveza pas de quoi vous parlez, la carte bleue est impiratable, et ce type de terminal aussi, il fonctionne sur le principe de token RSA, si vous ne connaissez rien à ces technologies, un tour sur wikipedia devrait faire l'affaire. Et en matière de sécurité, des systèmes sans faille existent (oui oui! CB et token RSA sont un exemple)
Il faut arrêter d'aller au ciné ...
On voit bien que vous ne saveza pas de quoi vous parlez, la carte bleue est impiratable, et ce type de terminal aussi, il fonctionne sur le principe de token RSA, si vous ne connaissez rien à ces technologies, un tour sur wikipedia devrait faire l'affaire. Et en matière de sécurité, des systèmes sans faille existent (oui oui! CB et token RSA sont un exemple)
alerter le modérateur
aucun
de
Glossy
, posté le 30 janvier 2009 à 16h10
Je pense que vous devriez être un peu plus prudent dans vos propos. De nos jours, il y a suffisamment de hackeurs pour pirater les systèmes les plus sophistiqués. De plus, vous devriez savoir que la carte à puce est piratable ainsi que le token.
Alors, un peu moins de certitude dans un contexte aussi compliqué que la sécurité.
Maintenant, pour parler du système (token) mis en place par la banque, il faut savoir que cela n'apporte pas grand chose de plus. Le token ne permet pas de signer électroniquement en ligne, et la vraie valeur ajoutée pour le client de la banque serait une solution sécurisée avec cette possibilité.
En zapant sur les sites bancaires, j'ai remarqué une nouvelle solution pour les clients des banques sur le site de la Bred. Apparemment, le support authentifie par certificat électronique le client sur ses comptes bancaires. Il peut signer en ligne ses factures, contrats (dématérialisation)et acheter en 3D secure. Cette solution paraît répondre aux besoins actuels. A voir...
Alors, un peu moins de certitude dans un contexte aussi compliqué que la sécurité.
Maintenant, pour parler du système (token) mis en place par la banque, il faut savoir que cela n'apporte pas grand chose de plus. Le token ne permet pas de signer électroniquement en ligne, et la vraie valeur ajoutée pour le client de la banque serait une solution sécurisée avec cette possibilité.
En zapant sur les sites bancaires, j'ai remarqué une nouvelle solution pour les clients des banques sur le site de la Bred. Apparemment, le support authentifie par certificat électronique le client sur ses comptes bancaires. Il peut signer en ligne ses factures, contrats (dématérialisation)et acheter en 3D secure. Cette solution paraît répondre aux besoins actuels. A voir...
alerter le modérateur
n'importe quoi
de
D. Monniauxx (chercheur)
, posté le 30 janvier 2009 à 18h59
"On voit bien que vous ne saveza pas de quoi vous parlez, la carte bleue est impiratable, et ce type de terminal aussi, il fonctionne sur le principe de token RSA,"
Ce n'est pas ce que j'ai entendu la dernière fois que j'ai entendu un chercheur en sécurité informatique évoquer le sujet.
Je vous reporte également à un récent numéro de MISC sur le sujet.
Ce n'est pas ce que j'ai entendu la dernière fois que j'ai entendu un chercheur en sécurité informatique évoquer le sujet.
Je vous reporte également à un récent numéro de MISC sur le sujet.
alerter le modérateur
Réveille toi toi-même!
de
jo567
, posté le 30 janvier 2009 à 21h12
http://www.01net.com/article/96379
Tu n'as même pas besoin de changer de site ! Tu étais en hibernation jusqu'à aujourd-hui, ou bien tu es juste naïf ?
Tu n'as même pas besoin de changer de site ! Tu étais en hibernation jusqu'à aujourd-hui, ou bien tu es juste naïf ?
alerter le modérateur
"ok mais" réponse
de
puppet_master87
, posté le 31 janvier 2009 à 00h55
"Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée ..."
A priori l'e-carte bleue ne permet pas de sécuriser l'accès à la gestion des comptes en ligne (virements...).
Voilà la principale nouveauté de leur nouvelle solution (sans parler du niveau de sécurité supplémentaire à terme pour les achats en ligne...mais bon ça c'est pas pour demain).
Tout est piratable c'est bien connu mais faut il devenir parano pour autant? en choisissant avec bon sens nos sites marchands, en disposant d'un ordinateur "sain" et avec une solution à base de numéro unique de transaction il me semble que l'on limite déjà bien les risques...
A priori l'e-carte bleue ne permet pas de sécuriser l'accès à la gestion des comptes en ligne (virements...).
Voilà la principale nouveauté de leur nouvelle solution (sans parler du niveau de sécurité supplémentaire à terme pour les achats en ligne...mais bon ça c'est pas pour demain).
Tout est piratable c'est bien connu mais faut il devenir parano pour autant? en choisissant avec bon sens nos sites marchands, en disposant d'un ordinateur "sain" et avec une solution à base de numéro unique de transaction il me semble que l'on limite déjà bien les risques...
alerter le modérateur
unanonimous
de
anonimera
, posté le 31 janvier 2009 à 07h04
ou c'est pour cela que plus de deux millions d'€ manques chaques annee dans les caisses de depos de la banques de france soyons serieux cela couterait plus cher de completement changer ce system pasoiriste wikipidia haha elle est bien bonne....,sur 0hein.net
alerter le modérateur
Pour puppet
de
jo567
, posté le 31 janvier 2009 à 09h48
"A priori l'e-carte bleue ne permet pas de sécuriser l'accès à la gestion des comptes en ligne (virements...). "
... je le fais tous les jours avec cette solution (opérations critiques cad virement, ecarte ...chez CM) , je ne comprends pas le blocage que vous avez tous entre ecarte et virement. Un code sécurisé peut servir à tout. Donc je le redis
"Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée ..."
... je le fais tous les jours avec cette solution (opérations critiques cad virement, ecarte ...chez CM) , je ne comprends pas le blocage que vous avez tous entre ecarte et virement. Un code sécurisé peut servir à tout. Donc je le redis
"Si une solution est déjà en place et qu'elle fonctionne, pourquoi proposer une solution plus couteuse et plus compliquée ..."
alerter le modérateur
Pour jo
de
puppet_master87
, posté le 02 février 2009 à 09h08
Ok, personnellement je n'ai pas souscris à l'e-carte bleue. Mon banquier ne m'a jamais vanté cet avantage là du produit.
Je ne manquerai pas de lui poser la question.
A bientôt
Je ne manquerai pas de lui poser la question.
A bientôt
alerter le modérateur
Pour puppet
de
jo567
, posté le 02 février 2009 à 12h13
Attention, chaque banque est différente. Ce dont je parle fonctionne au crédit mutuel. Pour les autres je ne sais pas.
;)
;)
alerter le modérateur
cm
de
bo39
, posté le 11 février 2009 à 22h53
Pas tout à fait exact jo567, car le Crédit Mutuel a développé la carte à code mais une simple photocopie de ce document rend inopérant !
Une simple photocopie ! Et oui.
Par ailleurs, le numéro provisoire de CB existe bel et bien au Crédit Mutuel mais aussi dans d'autres réseaux bancaires et en plus avec des services associés : Banque Pop par ex avec assurances incluses, Crédit Lyonnais, etc. Ton exposé est un peu light.
Une simple photocopie ! Et oui.
Par ailleurs, le numéro provisoire de CB existe bel et bien au Crédit Mutuel mais aussi dans d'autres réseaux bancaires et en plus avec des services associés : Banque Pop par ex avec assurances incluses, Crédit Lyonnais, etc. Ton exposé est un peu light.
alerter le modérateur
+ simple
de
123ABC
, posté le 29 janvier 2009 à 22h04
La caisse d'épargne utilise une astuce très simple : elle envoie par SMS un code à entrer. Pas besoin de moyen coûteux.
alerter le modérateur
pas tant que ça
de
jo567
, posté le 29 janvier 2009 à 22h46
De prime abord, c'est plus simple, mais en fait ça nécessite de posséder un téléphone portable... Donc, pour moi ça ne coute rien (j'en ai un de toutes façons), mais tous les usagers d'internet n'ont pas forcément de portable (tranche 50ans et + surtout).
Pour ce groupe de personnes, un portable et un abonnement, ça devient déjà un moyen couteux.
Pour ce groupe de personnes, un portable et un abonnement, ça devient déjà un moyen couteux.
alerter le modérateur
Pas partout
de
Sebcrafter
, posté le 30 janvier 2009 à 06h10
Pour la caisse d'épargne, ce service dont vous faites les louanges, n'est pas disponible dans toutes les régions, habitant en Alasace, je n'ai aucun système de sécurité spécial pour faire mes achats en lignes à part mettre ma date de naissance sur les site partenaire, date de naissance qui n'est pas vraiment une sécurité en soit.
alerter le modérateur
- efficace
de
cloclo123
, posté le 30 janvier 2009 à 10h58
Ce système par SMS existe aussi déja mais propose une sécurisation bien moindre qu'avec ce terminal.
alerter le modérateur
Saint-herblain
de
lilubab
, posté le 30 janvier 2009 à 06h19
Et à Saint-herblain çà marche ??
alerter le modérateur
Très efficace
de
Pigri
, posté le 30 janvier 2009 à 10h44
Ce système d'accès est déjà utilisé depuis plusieurs années en Suisse également. Tous les accès sur le compte sécurisé font appel à ce code, même pour la consultation. A chaque changement de service (virement, transaction etc) un nouveau code est demandé.
La carte et le codeur sont fournis gratuitement, par contre si la carte est bloquée après 3 essais de code NIP, la nouvelle est payante. En plus, la banque offre un logiciel de traitement des paiements, virements et toutes opérations bancaires, il permet de préparer ces derniers hors ligne et de n'envoyer qu'un paquet de données sécurisées par le même système, ceci réduit le temps de liaison avec la banque.
Pour ma part, j'ai une très bonne expérience avec ce système. On peut simplement souhaiter que toutes les banques l'utilisent.
La carte et le codeur sont fournis gratuitement, par contre si la carte est bloquée après 3 essais de code NIP, la nouvelle est payante. En plus, la banque offre un logiciel de traitement des paiements, virements et toutes opérations bancaires, il permet de préparer ces derniers hors ligne et de n'envoyer qu'un paquet de données sécurisées par le même système, ceci réduit le temps de liaison avec la banque.
Pour ma part, j'ai une très bonne expérience avec ce système. On peut simplement souhaiter que toutes les banques l'utilisent.
alerter le modérateur
mutliplateforme?
de
jo567
, posté le 30 janvier 2009 à 12h59
C'est réservé à Windows et uniquement avec IE, ou je pourrai l'utiliser sur mon linux avec firefox ?
alerter le modérateur
Passe partout
de
Cap!
, posté le 30 janvier 2009 à 13h18
Le lecteur est non connecté et ne possède pas de "secret". C'est donc par définition passe partout, indépendant de l'OS du navigateur, etc ... etc ... ca fonctionne partout dans le monde et même là ou un GSM ne capte pas !!!!
alerter le modérateur
à lire aussi
SUR LES MÊMES THÈMES 
