Le paiement NFC est-il sécurisé et comment le configurer?

Lors de l'achat d'un tout nouveau téléphone ou tablette, l'utilisateur obtient en règle générale un appareil prenant en charge NFC, mais souvent sans même savoir quels avantages cette technologie offre. Il est utile de savoir si le paiement NFC est sécurisé et comment le configurer pour régler ses achats sans contact.

Qu'est-ce que NFC?

Il s'agit d'une technologie permettant de transférer des informations sur de courtes distances, combinant un lecteur et une carte à puce en un seul appareil. Ce dernier est une carte en plastique avec une marque de type RFID, grâce à laquelle les gens passent à travers les tourniquets de bureau et les allées ouvertes. Les billets dans les transports en commun de la capitale ou une carte bancaire avec paiement sans contact sont une carte à puce.

Une micropuce y est installée, qui, au moment de toucher un appareil de lecture (un tourniquet de bureau ou une machine d'une institution), échange des informations en quelques secondes. En termes simples, il transfère des données sur son propriétaire au système de sécurité ou permet de retirer un montant spécifique de fonds.

Cette puce s'appelle Secure Element et est intégrée au téléphone par le fabricant ou placée sur une carte SD ou une carte SIM. L'unité NSF, quant à elle, est installée exclusivement dans l'usine du constructeur et joue le rôle d'une option contrôleur. En termes simples, il administre ce module.

Comment fonctionne NFC?

Attacher un smartphone au distributeur automatique pour payer les marchandises est beaucoup plus confortable que de transporter quelques cartes de crédit dans votre poche.

La technologie NFC (Near Field Communication) est basée sur l'interconnexion de 2 bobines électromagnétiques, dont l'une est dans le smartphone, et l'autre, respectivement, dans la machine. Pour initier la relation, les deux appareils doivent être situés à une distance maximale de 5 cm l'un de l'autre.

Comment activer NFC? Comment savoir s'il existe un module sur un smartphone?

Tout est assez simple. Pour comprendre s'il existe un module NFC sur le téléphone ou la tablette d'un utilisateur exécutant Android et pour l'activer, l'utilisateur doit aller dans "Configuration" - "Communications sans fil" - "NFC".

Si l'utilisateur n'a pas cette valeur dans le menu, alors il n'y a pas de NFC dans son smartphone.

Méthode 1. Carte de crédit Android

Si l'utilisateur a une mauvaise habitude partout et oublie constamment sa propre carte de crédit, alors dans cette situation, si son gadget est équipé d'un module NFC, il a la possibilité de faire de son propre téléphone une véritable carte de crédit. Cela se fait comme suit:

• Tout d'abord, vous avez besoin d'une carte de crédit prenant en charge la technologie Paypass;
• Il est nécessaire d'installer sur le smartphone le programme (client) de la banque utilisateur dans laquelle la carte est réalisée;
• Ouvrez le programme installé, recherchez le paramètre responsable de NFC et sélectionnez-le. Après cela, une carte de crédit doit être placée à l'arrière du téléphone ou de la tablette pour qu'elle soit prise en compte;
• Après une lecture réussie, l'utilisateur recevra un mot de passe composé de 4 chiffres par SMS, qui doit être enregistré. Ce code PIN devra être saisi lorsque l'utilisateur effectue un paiement à l'aide d'un téléphone ou d'une tablette.

Les développeurs du module affirment qu'il est sûr de l'utiliser car:

1. L'utilisateur doit toujours saisir le code PIN avant d'acheter quelque chose.
2. La portée du microprocesseur NFC n'est que de 10 cm (voire même moins).

Méthode 2. Tags NFC

Une situation typique: une personne s'est réveillée, a pris son petit-déjeuner, a regardé le stock dans le réfrigérateur et a ouvert le programme Buy Baton ou Google Keep pour ajouter ce qui doit être acheté à la liste. Après cela, il quitte l'appartement et allume le réseau mobile, monte dans la voiture et active le GPS, Bluetooth pour se rendre en toute sécurité sur le lieu de travail. Là, il passe le smartphone en mode vibration et ouvre "Evernote".

Aujourd'hui, toutes ces actions peuvent en fait être réalisées non pas mécaniquement, mais en mode automatique grâce aux tags NFC.

Ce qui est nécessaire pour cela:

1. Installez le logiciel NFC ReTAG.
2. Trouvez des tags NFC ou, si l'utilisateur a des cartes de paiement sans contact pour le métro ou les transports en commun, ou peut-être des cartes bancaires oubliées ou inutilisées qui prennent en charge Pay Pass.
3. Ouvrez NFC ReTAG, scannez une carte ou une étiquette, ajoutez-la et nommez-la comme l'utilisateur veut.
4. Après cela, vous devez sélectionner l'action qui sera effectuée sur le smartphone lorsque l'utilisateur l'attache à l'étiquette, et appuyez sur le bouton "Action".
5. Créez une action, par exemple, lancez le programme Buy Baton.

Une fois que l'utilisateur a créé l'action, vous pouvez attacher une carte ou une étiquette au réfrigérateur (ou la placer à côté de). Désormais, chaque fois que l'utilisateur entre dans la cuisine, il a la possibilité de lancer instantanément le programme Buy Baton et d'enregistrer un rappel avec une liste des achats requis.

Exemple! Lorsqu'une personne entre dans la voiture, une étiquette s'y trouve, après l'avoir numérisée, le GPS est automatiquement activé et Bluetooth s'ouvre.

Comment faire?

1. Vous devez scanner une carte ou une étiquette, nommez-la.
2. Indiquez l'action - démarrez le programme GPS et ouvrez également la transmission sans fil des informations Bluetooth.

Conseil! Il est préférable de laisser l'étiquette dans la voiture afin de ne pas oublier de la scanner à chaque fois que vous montez dans la voiture.

Si le smartphone a des droits root, cela augmentera également les possibilités d'utilisation des tags NFC et la personne aura plus de "puces" pour automatiser les processus du téléphone ou de la tablette.

Méthode 3. Android Beam

Il s'agit d'une méthode de transfert de données (similaire à Bluetooth) utilisant un microprocesseur NFC. Il est important de se rappeler que la vitesse d'échange de données avec Android Beam est très faible, et il sera donc conseillé de l'utiliser exclusivement pour transférer une petite quantité de texte ou de liens.

Cela nécessite:

• Appuyez sur la touche "Développer";
• Apportez les deux appareils l'un à l'autre;
• Lorsque l'image sur l'écran de l'appareil émetteur devient plus petite, cliquez dessus pour démarrer la transmission.

Méthode 4. Anneau ou bracelet NFC

Un bracelet intelligent ou une bague avec option NFC est un projet innovant de développeurs chinois, qui convient aux téléphones fonctionnant sur différents systèmes d'exploitation. Le bracelet peut être choisi pour n'importe quelle taille de main (situation similaire avec une bague). Le poids de l'appareil est très faible, mais l'essentiel est qu'il prend entièrement en charge la technologie NFC.

Le rôle de la puce, par exemple, dans le dispositif BFC Band 3, est joué par un chipset spécialisé. Avec l'aide de ce dernier, le bracelet intelligent aide le téléphone à transmettre des informations via un canal sans contact, maintenant ainsi une sécurité élevée. Les informations sur l'appareil peuvent être réécrites un nombre illimité de fois.

Le bracelet stocke des informations de facturation, des enregistrements et d'autres informations personnelles. Il ne sera pas difficile de regarder les informations - tout ce que vous avez à faire est de fixer le bracelet à l'écran du téléphone. En quelques secondes, il établira une connexion avec le smartphone et désactivera le verrouillage de l'écran, et agira également comme une touche "hot". Par exemple, lorsque vous apportez le bracelet au téléphone, l'appareil photo, le réseau ou le programme de réseau social est activé au même moment.

Autres options

Les modules NFC se trouvent sur des étiquettes dans les magasins ou dans les musées sur des plaques d'information, au cours desquelles l'utilisateur sera dirigé vers un site contenant des informations complètes sur le produit ou le rack.

Sécurité NFC

Pour les utilisateurs qui utilisent des cartes sans contact depuis longtemps, il est inutile de parler de ce qu'est la technologie NFC. Cette méthode de paiement est plus sûre que la méthode habituelle d'activation d'une carte PIN dans une machine, car personne ne voit le code. Même si le téléphone est volé, le voleur ne pourra pas retirer plus de mille roubles de la carte en raison des limites globalement effectives sur la limitation des montants dans les transactions sans contact.

Dans certains médias, il y a des informations que les pirates terminaux créés, qui sont utilisés dans des endroits bondés, volant furtivement des fonds. Mais cela n'est possible que lorsque le téléphone est déverrouillé.

Recommandation! Si l'attaquant parvient toujours à retirer des fonds illégalement, le titulaire du compte a toujours la possibilité de se rendre dans une institution bancaire et de le contacter avec une demande de suivi du mouvement de l'argent. Le solde du hacker sera instantanément trouvé et les fonds seront retournés au propriétaire, si le voleur ne les a pas encore utilisés.

Mythes et recherches sur la sécurité NFC

Pour tout comprendre, voici toutes sortes de mythes, de rumeurs et de situations réelles liés à la sécurité de la technologie NFC.

Distance

Les cartes sans contact sont utilisées pour transférer des informations Technologie NFC, sous-catégorie RFID. La carte de crédit contient un processeur et une antenne qui répondent à une requête d'un terminal de paiement à une fréquence radio de 13,56 MHz. Divers systèmes de paiement utilisent leurs propres normes, telles que Visa Pay Wave ou MasterCard Pay Pass. Mais ils sont tous basés sur presque le même principe.

La distance de transmission des informations par NFC varie de quelques centimètres, à cet égard, la première étape de la sécurité est physique. Le lecteur, en effet, doit être rapproché de la carte de crédit, ce qui est assez difficile à réaliser secrètement.

Cependant, il est possible de créer un lecteur extraordinaire qui travaille à longue distance. Par exemple, des scientifiques de l'Université de Surrey en Grande-Bretagne ont montré la technologie de lecture d'informations NFC à une distance d'environ 80 cm grâce à un scanner pratique.

Ce gadget est vraiment capable de "scruter" secrètement les cartes sans contact dans les minibus, les centres commerciaux, les aéroports et autres lieux de masse. Heureusement, dans de nombreux pays, une personne sur deux a une carte de crédit appropriée dans son portefeuille.

Néanmoins, il est possible d'aller beaucoup plus loin et de se passer d'un scanner et d'une présence personnelle. Une autre solution inhabituelle au problème de la portée a été présentée par des pirates informatiques espagnols. R. Rodriguez et H. Villa, qui ont présenté une conférence lors de la réunion Hack In The Box.

La plupart des nouveaux téléphones Android sont équipés d'un bloc NFC. Dans le même temps, les gadgets sont souvent situés à proximité du portefeuille - par exemple, dans un sac à dos. Villa et Rodriguez ont développé le concept d'un cheval de Troie (virus) sur Android, qui transforme le téléphone de la victime en une sorte de répéteur de signal NFC.

Au moment où le smartphone infecté se trouve à côté de la carte bancaire sans contact, il envoie un signal aux pirates via le réseau sur la portée de l'opération. Les attaquants lancent un terminal de paiement ordinaire et y attachent leur propre téléphone NFC. Par conséquent, un pont est "construit" en utilisant un réseau entre le terminal et la carte NFC, qui peut être à n'importe quelle distance l'un de l'autre.

Le virus peut être transmis de la manière habituelle, par exemple en combinaison avec un programme payant "piraté". Tout ce dont vous avez besoin est Android 4.4 ou version ultérieure. Les droits root ne sont pas nécessaires, cependant, ils sont recommandés pour que le virus puisse fonctionner même après le blocage de l'écran de l'appareil.

Cryptographie

Bien sûr, l'approche de la carte est réussie à 50%. Suite à cela, il est nécessaire de briser une barrière beaucoup plus puissante, basée sur la cryptographie.

Les transactions sans contact sont protégées par le même standard EMV que les cartes processeur. Par rapport à la piste de l'aimant, qui est effectivement copiée, un tel mouvement ne fonctionnera pas avec le processeur. A la demande du terminal, le microcircuit génère à chaque fois une clé à usage unique. Il est possible d'intercepter une telle clé, mais elle ne conviendra plus pour l'opération ultérieure.

Les scientifiques en sécurité ont douté de la sécurité des EMV plus d'une fois, mais à ce jour, aucun contournement réel n'a été trouvé.

Il y a, en passant, une nuance. Dans la mise en œuvre habituelle, la sécurité du traitement des cartes repose sur une combinaison de clés cryptographiques et une saisie humaine du code PIN. Dans le processus de transactions sans contact, le code PIN n'est le plus souvent pas nécessaire, il ne reste donc que les clés cryptographiques du processeur de carte et du terminal.

Montant des achats

Il y a une autre étape de sécurité - la limite du montant maximum des transactions sans contact. Cette limitation dans la configuration de l'équipement terminal est fixée par l'acquéreur (banque), qui est guidé par les conseils des systèmes de paiement. En Fédération de Russie, le montant maximal du paiement est de mille roubles et en Amérique, le seuil est de 25 dollars.

Un paiement d'un montant élevé sera refusé, ou la machine commencera à exiger une identification auxiliaire (signature ou code PIN), tout dépend de la configuration de l'acquéreur - l'émetteur de la carte. Lors des tentatives de prélèvement alternatif de quelques quantités inférieures à la limite, le système de sécurité auxiliaire doit également être activé.

Mais là aussi, il y a une spécificité. Un autre groupe de scientifiques britanniques de l'Université de Newcastle, près d'un an plus tôt, a déclaré avoir trouvé une faille dans la sécurité des transactions sans contact du système de paiement Visa.

Si vous demandez un paiement non pas en livres sterling, mais dans une autre devise étrangère, la limite du montant n'est pas incluse. Et si le terminal n'est pas connecté au World Wide Web, alors le montant maximum d'une opération de piratage peut atteindre un million d'euros.

Les employés du système de paiement Visa ont nié la mise en œuvre d'un tel piratage dans la pratique, affirmant que l'opération serait refusée par les systèmes de sécurité de la banque. Si vous en croyez les paroles de Taratorin de la Raiffeisenbank, le terminal contrôle le montant seuil du paiement, quelle que soit la devise dans laquelle il a été effectué.

Conclusion

En conclusion, il convient de noter que la technologie de paiement sans contact est, en fait, couverte par une excellente protection en plusieurs étapes, mais cela ne signifie pas du tout que les fonds des utilisateurs sont en sécurité avec elle. Trop de cartes des établissements bancaires sont interconnectées avec des technologies très «anciennes» (une bande d'aimant, un réseau de paiement sans vérification supplémentaire, etc.)

En outre, beaucoup réside dans l'attention portée à la configuration de certaines institutions financières et points de vente. Il est à noter que ces derniers, dans la course aux achats rapides et à un faible pourcentage de «paniers abandonnés», négligent la sécurité des transactions.