Cartes Bancaires ” CB ” : plus de sécurité pour plus de services

La carte de paiement à puce : un facteur de sécurité technique, juridique et donc économique

Émet­tri­ces de cartes de débit à piste mag­né­tique au lance­ment du sys­tème Cartes Ban­caires ” CB “, les Ban­ques ” CB ” ont dû faire face à la fin des années qua­tre-vingt à une forte aug­men­ta­tion du nom­bre de cartes à piste contrefaites.

Sys­tème ” CB ” en chiffres
Avec plus de 55 mil­lions de cartes en cir­cu­la­tion, 1 mil­lion de com­merces et 51 000 dis­trib­u­teurs automa­tiques de bil­lets, le nom­bre d’opéra­tions réal­isées annuelle­ment par le sys­tème Cartes Ban­caires ” CB ” excède les 7 milliards.
Les paiements par carte — plus de 280 mil­liards d’eu­ros par an — représen­tent ain­si un quart de la dépense des ménages français.
Le sys­tème ” CB ” est le plus impor­tant d’Eu­rope avec un vol­ume de trans­ac­tions de l’or­dre de 25 % du total européen des paiements par carte, ou de 35 % dans la zone euro.

Avec un taux de fraude de l’or­dre de 0,3 % en con­stante pro­gres­sion, les Ban­ques ” CB “, face à la men­ace sur l’équili­bre économique du sys­tème, décidaient d’in­vers­er durable­ment la ten­dance en faisant le choix de la tech­nolo­gie des cartes à micro­cir­cuit, le pro­gramme ” carte à puce ” était lancé. Quelques années plus tard, au début des années qua­tre-vingt-dix, les résul­tats étaient à la hau­teur des enjeux : le taux de fraude con­staté sur le sys­tème ” CB ” était divisé par 10, il est aujour­d’hui sta­bil­isé aux envi­rons de 0,03 %. Hors de France, divers fac­teurs ont retardé la prise en compte des enjeux de la fraude. Mais désor­mais les réseaux Visa et Mas­ter­Card ont fixé dans de nom­breuses régions des règles qui con­duisent de nom­breuses ban­ques en Europe, Asie du Sud-Est et Amérique latine à faire migr­er leurs cartes au stan­dard ” puce ” EMV. 

L’évolutivité, atout majeur de la carte à puce

Le dimen­sion­nement des algo­rithmes cryp­tographiques dans les cartes ban­caires répond à un dou­ble besoin : les clés doivent être assez longues pour rester à l’abri des attaques basées sur les don­nées pro­duites, et assez cour­tes pour tenir compte des lim­i­ta­tions des puces en mémoire et en vitesse de cal­cul. À ce jour, les clés RSA embar­quées ont une longueur de 960 à 1 152 bits, ce qui est faible devant la longueur typ­ique sur un PC (2 048 bits), mais encore bien supérieur aux records actuels de fac­tori­sa­tion des entiers (de l’or­dre de 700 bits ; la fac­tori­sa­tion d’une clé publique RSA per­me­t­trait la divul­ga­tion de la clé privée).

Le stan­dard inter­na­tion­al EMV
EMV (Euro­pay Mas­ter­Card Visa) désigne le nou­veau stan­dard inter­na­tion­al de sécu­rité des cartes de paiement (cartes à puce) qui tire son nom des organ­ismes fondateurs :
— Euro­pay International,
— Mas­ter­Card International,
— Visa International,
rejoints, depuis, par le japon­ais JCB Inter­na­tion­al, au sein d’EMV­Co. EMV­Co LLC, créée en 1999, gère, main­tient et développe les spé­ci­fi­ca­tions de cartes à cir­cuit inté­gré EMV ? dont la pre­mière ver­sion est parue en 1996. Le pre­mier rôle de cette organ­i­sa­tion est d’as­sur­er la main­te­nance de normes qui assurent l’in­teropéra­bil­ité et l’ac­cep­ta­tion des cartes à cir­cuit inté­gré util­isées sur les sys­tèmes de paiement, à une échelle mondiale.
Fin 2007, on compt­abilise au niveau mon­di­al plus de 700 mil­lions de cartes EMV dont plus de 50 % émis­es dans les pays de l’U­nion européenne.

Les algo­rithmes doivent égale­ment être ren­for­cés pour résis­ter aux com­bi­naisons d’at­taques logiques et physiques aux­quelles les puces sont soumis­es, telles que la recherche de cor­réla­tions entre les secrets con­tenus dans les puces (clés, codes con­fi­den­tiels) et les paramètres physiques les plus var­iés, ou les per­tur­ba­tions et injec­tions de fautes pen­dant les cal­culs cryp­tographiques. Seule l’é­val­u­a­tion sécu­ri­taire d’une puce, qui teste toutes les attaques con­nues au niveau de résis­tance le plus élevé, per­met d’ac­quérir la con­fi­ance néces­saire pour la dif­fuser auprès des porteurs.

La car­ac­téris­tique essen­tielle du paiement par carte ban­caire est la garantie de paiement

Le Groupe­ment des Cartes Ban­caires ” CB ” a choisi d’avoir recours à une méth­ode d’é­val­u­a­tion basée sur un stan­dard inter­na­tion­al de sécu­rité ” Les critères com­muns “. Ce proces­sus d’é­val­u­a­tion s’ap­puie sur des lab­o­ra­toires indépen­dants, totale­ment extérieurs au Groupe­ment, dûment accrédités par la Direc­tion cen­trale de la sécu­rité des sys­tèmes d’in­for­ma­tion (DCSSI), sous l’égide du Secré­tari­at général de la Défense nationale, dans le cadre du sché­ma français d’é­val­u­a­tion et de cer­ti­fi­ca­tion. Le Groupe­ment des Cartes Ban­caires ” CB ” a été un des tout pre­miers acteurs ayant active­ment con­tribué à l’émer­gence du sché­ma nation­al d’é­val­u­a­tion et de cer­ti­fi­ca­tion au sein duquel se met­tent main­tenant en place de puis­santes syn­er­gies avec d’autres types de cartes (carte nationale d’i­den­tité, carte san­té…) dans le cadre d’une méth­ode inter­na­tionale­ment recon­nue ; c’est là un élé­ment cen­tral de la con­fi­ance dans le moyen de paiement. 

Droit et technique

Plus de cinquante mille dis­trib­u­teurs de billets.

Ils sont intime­ment liés depuis l’es­sor des Nou­velles tech­nolo­gies de l’in­for­ma­tion et de la com­mu­ni­ca­tion (NTIC). Elles ont entraîné des réformes majeures dans le domaine juridique notam­ment dans celui du droit de la preuve. Le droit de la preuve numérique est né en France avec la carte ban­caire à puce. Dès 1986, la Cour de cas­sa­tion a recon­nu une valeur juridique à l’écrit élec­tron­ique. Le code à qua­tre chiffres ou code PIN (Per­son­al Iden­ti­fi­ca­tion Num­ber) est assim­ilé à une sig­na­ture, le por­teur a validé l’or­dre de paiement qu’il a don­né dès qu’il a frap­pé son code con­fi­den­tiel. Un acte juridique est ain­si créé. La sig­na­ture élec­tron­ique de l’or­dre de paiement est cal­culée dans le micro­cir­cuit de la carte grâce à un algo­rithme cryp­tographique et une clé unique pro­pre à chaque carte. Cette opéra­tion ne peut être effec­tuée qu’avec la saisie du code con­fi­den­tiel. En cas de con­tes­ta­tion de l’or­dre de paiement par carte, il est pos­si­ble d’ap­porter une preuve que cette sig­na­ture élec­tron­ique émane bien de cette carte. Le droit des nou­velles tech­nolo­gies a égale­ment généré des craintes de la société, ain­si un droit entière­ment nou­veau a été organ­isé : le droit de savoir et con­trôler les don­nées per­son­nelles organ­isé et recon­nu par la loi Infor­ma­tique et Lib­ertés du 6 jan­vi­er 1978 mod­i­fiée par la loi du 3 août 2004. Il est par ailleurs impor­tant de rap­pel­er que, du point de vue du com­merçant, la car­ac­téris­tique essen­tielle du paiement par carte ” CB ” est la garantie de paiement.

Le futur : évolutions technologiques, innovations commerciales et ouverture internationale

Jusqu’à une péri­ode récente, les instru­ments de paiement n’é­taient pas con­sid­érés comme des out­ils mar­ket­ing par leurs util­isa­teurs ou émet­teurs. L’at­ten­tion était portée sur la recon­nais­sance, la sécu­rité, la per­ma­nence des échanges. Les évo­lu­tions n’avaient donc pour objec­tif que de répon­dre à des attentes pure­ment fonc­tion­nelles et économiques. Désor­mais, les ban­ques ont bien com­pris l’in­térêt d’in­nover et s’ap­puient sur la carte, et la richesse des inno­va­tions tech­nologiques qui l’ac­com­pa­g­nent, pour répon­dre aux attentes et besoins des utilisateurs.

Un accès immé­di­at à des biens ou ser­vices grâce aux auto­mates de vente ou location

Out­re un instru­ment de paiement, la carte est, pour les acteurs de la dis­tri­b­u­tion, un out­il per­me­t­tant d’affin­er leur mar­ket­ing par une meilleure con­nais­sance des clients, de leur pro­pos­er des offres plus ciblées, et de gag­n­er en pro­duc­tiv­ité au niveau des encaisse­ments. La tech­nolo­gie ” sans con­tact “, les cartes mul­ti­ap­pli­ca­tions et le cobrand­ing (comar­quage des cartes avec une mar­que com­mer­ciale) con­tribuent à ces objec­tifs et per­me­t­tent d’ac­croître la valeur ajoutée de la carte pour les enseignes et les con­som­ma­teurs. Grâce à la super­po­si­tion de tech­nolo­gies, la carte, matéri­al­isée ou non, peut tech­nique­ment accueil­lir aujour­d’hui d’autres fonc­tions, comme, par exem­ple, des pro­grammes de fidéli­sa­tion et répon­dre ain­si favor­able­ment à l’évo­lu­tion du com­porte­ment des con­som­ma­teurs. Ceux-ci sont de plus en plus sen­si­bles à la per­son­nal­i­sa­tion, que ce soit pour leurs son­ner­ies de télé­phone, leurs fonds d’écran, leurs pro­fils util­isa­teurs sur le Web… La carte ban­caire s’in­scrit dans cette ten­dance et répond aujour­d’hui à ce besoin par une plus grande diver­sité de visuels, se rap­prochant ain­si des styles de vie des por­teurs. Pour répon­dre à l’in­stan­ta­néité de l’acte d’achat, les cartes ban­caires pour­ront bien­tôt être délivrées en quelques min­utes sur le point de vente. 

Cumuler des points de fidélité

L’ou­ver­ture du cobrand­ing, depuis octo­bre 2007, per­met aux ban­ques de faire fig­ur­er sur la carte CB leurs parte­nar­i­ats avec des com­merçants ou asso­ci­a­tions. Le con­som­ma­teur, en util­isant sa carte ” CB “, peut cumuler des points de fidél­ité, des réduc­tions ou des avan­tages auprès d’en­seignes ou d’as­so­ci­a­tions (sportives, par exem­ple) parte­naires de sa banque ; ou, si ses affinités sont plutôt d’or­dre car­i­tatif ou envi­ron­nemen­tal, revers­er à une asso­ci­a­tion par l’in­ter­mé­di­aire de sa carte une par­tie du mon­tant de ses achats. Les cartes pré­payées, dont l’ex­em­ple le plus con­nu est la carte cadeau lancée en 2006, sont un autre exem­ple de dif­féren­ci­a­tion pour les ban­ques. Le sup­port carte en tant que tel n’est pas non plus en reste en ter­mes d’in­no­va­tion. Les indus­triels dis­posent déjà d’ef­fets de tex­tures, couleurs ou matières qui per­me­t­tent aux ban­ques de mieux dis­tinguer leurs gammes de cartes ” CB “. Demain, les cartes à écran inter­ac­t­if créeront sans doute de nou­velles pos­si­bil­ités d’en­richisse­ment du sup­port carte et des usages. La carte ban­caire sus­cite égale­ment l’in­térêt mar­ket­ing d’ac­teurs non ban­caires, grâce à ses pos­si­bil­ités de sim­pli­fi­ca­tion de l’acte d’achat. La carte à puce est seule à pou­voir offrir un accès immé­di­at et spon­tané vingt-qua­tre heures sur vingt-qua­tre à des biens ou ser­vices grâce aux auto­mates de vente ou loca­tion. Le ” phénomène ” Velib’ à Paris en est un exem­ple récent. La carte per­met aux ban­ques d’ex­ercer leur créa­tiv­ité et de seg­menter leurs offres pour mieux cibler les besoins et attentes de leurs clients. La carte ban­caire allie ain­si les fonc­tions de moyen de paiement sécurisé à fort poten­tiel de séduc­tion, et de sup­port de dif­féren­ci­a­tion dans le con­texte de la con­cur­rence entre étab­lisse­ments de crédit et instru­ments de paiement. 

Un espace unique pour la zone euro

Le sys­tème ” CB ” a voca­tion à créer le cadre per­me­t­tant ces évo­lu­tions. Struc­turelle­ment ouvert à l’in­ter­na­tion­al, il doit s’or­gan­is­er pour gér­er les risques inhérents à l’ac­cep­ta­tion des cartes dans des envi­ron­nements sig­ni­fica­tive­ment dif­férents et con­trastés, notam­ment dans le monde du com­merce élec­tron­ique et dans les nom­breux pays n’ayant pas encore migré vers la tech­nolo­gie de la puce. C’est en par­ti­c­uli­er le cas au niveau européen où le sys­tème ” CB ” par­ticipe active­ment à la créa­tion et la mise en place du SEPA (Sin­gle Euro Pay­ment Area : futur espace unique de paiement pour la zone euro).

1. C’est ce qui s’est pro­duit sur le sys­tème ” CB ” au début des années 2000 avec l’ap­pari­tion des ” Yescards ” : les fraudeurs récupéraient les don­nées d’au­then­tifi­ca­tion sta­tiques de cartes volées et les dupli­quaient sur de fauss­es cartes ban­caires émulées. Ce type de fraude est aujour­d’hui totale­ment impos­si­ble grâce à la nou­velle généra­tion des cartes ” CB ” qui met en oeu­vre un mécan­isme d’au­then­tifi­ca­tion dynamique.

---

Articles similaires :

Les tech­nolo­gies numériques sauveront-elles l’école ? Asso­ci­a­tions et fon­da­tions, généreuses et solidaires Com­pren­dre les for­ma­tions européennes d’ingénieurs par l’histoire L’UCHRONIE Blues en si bémol AUTRES LIVRES REÇUS