A l’occasion de l’éradication du dernier Windows XP au bureau, l’éternel problème du foutu lecteur de carte à puce que la banque nous a fourgué il y a 10 ans pour faire des prélèvements automatiques revient sur le tapis.
Cette charmante petite chose porte le doux nom de « Caroline », charmante demoiselle fabriquée par une boite qui s’appelle Covadis et qui n’a qu’une seule utilité : prendre toujours la même carte, se faire taper dessus toujours le même code à 4 chiffres, soit disant pour sécuriser la transmission et la validation de nos trames contenant les coordonnées bancaires de nos clients et fournisseurs pour ordonner des prélèvements pour les uns et des virements pour les autres.
Laissez-moi vous faire un peu le détail :
- Notre applicatif maison génère un fichier contenant, en gros « à telle date, il faut que tu piques 200 euro sur le compte de machin, 300 sur le compte de bidule, 20 sur le compte de truc. Histoire de voir que je me suis pas planté, je te le dis tout net, la somme fait 520. Allez, salut ! »
- On va sur le site entrepro-corpo-bidule de la BNP avec Internet Explorer (sinon, ça marche pas)
- On met la carte verte dans Caroline
- On tape le code
- On va dans l’option « Transnet »
- Le bidule java va regarder tout seul sur le disque dur du PC à l’endroit où on a mis le fichier prelevements.txt
- Il fait la liste des prélèvements avec un bouton « envoyer » en bas
- On clique sur envoyer
- On va dans la rubrique validation
- On clique sur la ligne de prélèvement
- On clique « oui, je veux vraiment prendre 520 euro à des gens »
- On retape le même code qu’au 4° sur Caroline
- On sort la carte de Caroline
- On la met dans sa poche
- On attend sagement la date indiquée pour voir les sous arriver sur le compte en banque
Tout ceci, bien entendu, sur un site en https avec le certificat SSL qui va bien. Bon, là, on se dit « youpi, du SSL plus une carte à puce, on est sécure quoi ! »
Eh ben non, parce qu’au n° 2, on a vu, juste à coté du bouton « s’identifier avec un lecteur de carte », une option « entrer un login et un mot de passe », donc en fait, c’est au choix.
Comme chacun sait, proposer une méthode d’authentification forte en laissant une méthode faible juste à coté, ça sert juste à rien.
Revenons-en à nos amis de la BNP. J’envoie dare dare un mail à notre chargé de compte que j’ai déjà molesté il n’y a pas 2 semaines à propos d’une histoire perso de crédit immobilier, et je lui dit « votre lecteur de carte, c’est une merde, il ne marche que sous windows 95/ME/XP/2000 ».
Et la, ô surprise, il me répond dans les 10 minutes (rarissime) en me disant qu’il a parlé à son responsable monétique qui a dit qu’il fallait nous envoyer le dernier lecteur de la mort qui tue… Sans fil !
Glups… Sans fil ?!
Alors je cherche. Et puis je finis par trouver. Ce coup ci, c’est made in Gemalto.
Et la, je me questionne. Un petit tour de flash plus tard, j’ai compris. Cet engin est effectivement sans fil puisqu’il n’a pas de fil… mais il ne communique avec rien du tout, non non. Point de bluetooth, de wifi ou autre GSM, rien.
Il prend juste la carte qu’on lui fourre dans le bide, lui donne le code qu’on tape à manger, attend que la carte dise « yabon » et répond un code chiffré qu’il convient de taper sur le site.
C’est donc, je suppose, un engin qui génère un onetimepassword calé à l’horaire et/ou au nombre d’entrées effectuées sur la machine (je testerai ça dès réception).
Dans l’absolu c’est pas nécessairement une mauvaise idée, mais mon petit doigt me dit que ça doit encore être fait avec les pieds. Mon chargé de compte confirme d’ailleurs en m’envoyant le login en clair par email.
Et il y a toujours, juste à coté, la possibilité de s’identifier avec un bête login/password tout ce qu’il y a de plus statique et qui, en prime, est généré pour tous les clients lors de la signature du contrat et envoyé par courrier.
On ne parle bien sûr pas du fait que le mot de passe qui va avec n’est *jamais* changé, qu’il peut se lire à travers l’enveloppe (contrairement aux codes de cartes bancaires) et qu’il ne peut être constitué que de 6 chiffres.
Quand on sait, pour finir, que dans 90% des banques qui sont en face, il suffit d’avoir le RIB de quelqu’un, sans aucun besoin d’autorisation de prélèvement ou de signature, pour lui piquer du pognon et que tout ce système est totalement opaque et n’envoie aucune espèce de confirmation, que ce soit par mail ou par courrier… Ça laisse rêveur.
Amis banquiers, de grâce, arrêtez de creuser, vous êtes arrivés au fond.
Laisser un commentaire