Carte bancaire intégrée au smartphone

[attentif]

Bonjour à tous,

Je ne souhaite pas intégrer ma carte bancaire sur mon smartphone avec les applications de type xPay.

Du point de vue sécurité, je reste attaché au hardware avec la puce de la carte, plutôt qu'au système d'exploitation du smartphone aussi sophistiqué soit-il.

J'ai toujours constaté que le software était plus facilement piratable que le hardware.

Qu'en pensez-vous ?

 

[Nature]

Bonjour à tous,

Je ne souhaite pas intégrer ma carte bancaire sur mon smartphone avec les applications de type xPay.

Du point de vue sécurité, je reste attaché au hardware avec la puce de la carte, plutôt qu'au système d'exploitation du smartphone aussi sophistiqué soit-il.

J'ai toujours constaté que le software était plus facilement piratable que le hardware.

Qu'en pensez-vous ?

La seule chose que je peux te dire, c'est qu'après des années d'utilisation de ma CB sur mon smartphone (via Samsung wallet), je n'ai jamais eu de souci.

Les paiements sont toujours validés contrairement à la CB physique où quand je l'utilise j'ai souvent des soucis de "Carte refusée". Donc je préfère le smartphone.

De plus, dans le même espace, tu peux loger plusieurs CB, ainsi que tes cartes de fidélités. Et l'historique des paiements étant présent, plus besoin d'avoir les tickets de CB pour pointer ses comptes ou retrouver une dépense.
J'aime ce côté pratique.

Concernant la sécurité, je préfère et de loin valider un paiement avec mon empreinte digitale plutôt que de taper mon code à la vue de tous, car c'est très facile de voir un code que tape une personne selon les installations.

 

[AlbertoWin]

Bonjour,

Le problème du smartphone sont les suivants :

• La désactivation du xPay se fait via le compte associé et l'utilisateur doit savoir comment faire. Sinon la carte continue de fonctionner malgré opposition selon les banques (et c'est un énorme point négatif).
• Ex chez Google Pay le téléphone deverouille suffit il n'y a pas de second contrôle.
• Mais c'est très pratique.

Perso je l'ai mais je l'utilise que si j'ai oublié ma carte où dans les portiques des transports en commun.
Je préfère aussi la carte bancaire, bloquable depuis son espace rapidement et facilement.

Niveau fraude le gros problème c'est l'enrôlement frauduleux. Sinon le paiement mobile aurait un taux de fraude proche de la carte a mon avis.

Niveau code a rentrer ça me gène pas car je fais en sorte que personne ne soit a proximité quand je le tape.

 

[Juju84]

De mon point de vue j'étais réticent au début (sur la question de la sécurité principalement) et puis j'ai voulu essayer juste pour voir ... En ajoutant ma CB à mon Google wallet Android ainsi que ma carte resto et quelques cartes de fidélité de magasins
Depuis je ne peux plus m'en passer et je règle quasiment tout les paiements que je faisais auparavant en CB via le téléphone.
Facilité d'utilisation, rapidité en caisse, pas de saisie du code CB, sans contact dispo même pour les sommes > 50€, possibilité d'ajouter plusieurs CB dans le wallet et de choisir laquelle utiliser lors du paiement, plus nécessaire de se trimballer mon portefeuille ou porte cartes dans une sacoche... Simplicité d'avoir seulement son téléphone dans la poche.
Niveau sécurité je pense qu'il est rassurant de savoir que ce n'est pas le numéro physique de la carte physique qui est réellement stocké dans l'appli, mais seulement une sorte de virtualisation et fortement chiffré.
Pour la crainte du piratage du au sans contact, il faut vraiment mettre le téléphone à proximité du lecteur carte bleu, au delà de 1 ou 2 cm le paiement ne se déclenche pas.
Enfin pour payer sur l'appli (pas besoin de la lancer, elle tourne en tâche de fond et de met en premier plan automatiquement dès lors que le téléphone est posé sur le lecteur) il faut obligatoirement que le téléphone soit déverrouillé. Rassurante en cas de vol du téléphone, puisqu'avec une authentification forte (code, schéma complexe ou encore empreinte digitale) pour déverrouiller le téléphone cela est à mon sens beaucoup plus sécuritaire qu'un simple paiement sans contact avec sa CB.
Bref de mon côté , testé et approuvé, je ne pourrai plus m'en passer je pense 👍

 

[Juju84]

De mon point de vue j'étais réticent au début (sur la question de la sécurité principalement) et puis j'ai voulu essayer juste pour voir ... En ajoutant ma CB à mon Google wallet Android ainsi que ma carte resto et quelques cartes de fidélité de magasins
Depuis je ne peux plus m'en passer et je règle quasiment tout les paiements que je faisais auparavant en CB via le téléphone.
Facilité d'utilisation, rapidité en caisse, pas de saisie du code CB, sans contact dispo même pour les sommes > 50€, possibilité d'ajouter plusieurs CB dans le wallet et de choisir laquelle utiliser lors du paiement, plus nécessaire de se trimballer mon portefeuille ou porte cartes dans une sacoche... Simplicité d'avoir seulement son téléphone dans la poche.
Niveau sécurité je pense qu'il est rassurant de savoir que ce n'est pas le numéro physique de la carte physique qui est réellement stocké dans l'appli, mais seulement une sorte de virtualisation et fortement chiffré.
Pour la crainte du piratage du au sans contact, il faut vraiment mettre le téléphone à proximité du lecteur carte bleu, au delà de 1 ou 2 cm le paiement ne se déclenche pas.
Enfin pour payer sur l'appli (pas besoin de la lancer, elle tourne en tâche de fond et se met en premier plan automatiquement dès lors que le téléphone est posé sur le lecteur) il faut obligatoirement que le téléphone soit déverrouillé. Rassurante en cas de vol du téléphone, puisqu'avec une authentification forte (code, schéma complexe ou encore empreinte digitale) pour déverrouiller le téléphone cela est à mon sens beaucoup plus sécuritaire qu'un simple paiement sans contact avec sa CB.
Bref de mon côté , testé et approuvé, je ne pourrai plus m'en passer je pense

 

[MDacier]

Pour éviter le moindre souci, suffit de n'activer le NFC qu'au moment d'un paiement.
Ainsi on limite au maximum le risque de piratage !

 

[attentif]

Je faisais référence au module logiciel HCE (Hosted Card Emulation) utilisé par les solutions de paiement mobile.

HCE s'appuie par définition sur le système d'exploitation dans lequel il est implémenté, et gère les clés cryptographiques. J'ai plutôt tendance à faire confiance à un système de gestion des clés cryptographiques indépendant du système d'exploitation, donc à une solution s'appuyant sur une implémentation matérielle.

HCE a été passé sous silence bien sûr pour le grand public. Une banque utilise systématiquement des boitiers matériels HSM (Hardware Security Module) pour la gestion de ses clés cryptographiques les plus critiques, comme les clés maîtres utilisées pour la personnalisation des cartes bancaires, par exemple.

Un piratage du module HCE d'un smartphone peut être rendu possible grâce à une faille de sécurité du système d'exploitation qui le supporte.
La puce d'une carte bancaire n'a pas jusqu'à maintenant été piratée.

 

[AlbertoWin]

Un piratage du module HCE d'un smartphone peut être rendu possible grâce à une faille de sécurité du système d'exploitation qui le supporte.
La puce d'une carte bancaire n'a pas jusqu'à maintenant été piratée.

En tout cas chez Apple, les clés sont enclavés et il sera très compliqué de récupérer les clés voire impossible.

La carte à puce également a ses failles mais l'avantage des deux encore aujourd'hui : c'est qu'il faut un accès physique à la carte ou au téléphone pour extraire les informations donc le "scale-up" est quasiment impossible.

Et en cas d'attaque massive, il ne sera pas compliqué à EMVCo de le détecter et de bloquer les paiements, comme ça s'était passé avec Bureau Vallée pendant le confinement d'après ma-neobanque (enfin à l'époque).

Pour moi les 2 problèmes : c'est la problématique de l'enrôlement (pas d'authentication forte pour certains...) et de déserenrôlement (comme la bloquer sur xPay...), pas le paiement ou sa sécurité en tant que tel.

 

[attentif]

Pour moi les 2 problèmes : c'est la problématique de l'enrôlement (pas d'authentication forte pour certains...) et de déserenrôlement (comme la bloquer sur xPay...), pas le paiement ou sa sécurité en tant que tel.

Bonjour @AlbertoWin ,

Pour moi, c'est la problématique du module logiciel HCE qui demeure un point de vulnérabilité.

Le software a toujours été plus vulnérable que le hardware.

 

[AlbertoWin]

Bonjour @AlbertoWin ,

Pour moi, c'est la problématique du module logiciel HCE qui demeure un point de vulnérabilité.

Le software a toujours été plus vulnérable que le hardware.

En suivant cette logique, il suffit de pirater Visa, CB ou Mastercard et le tour est joué...