Reportage

 

Yescard, un an après

Publié le 27-08-2005 dans le thème Contrefaçon

Pays : International - Auteur : Damien Bancal


Pub : Tous les logiciels antiphishing gratuits disponibles sur Internet

Note des lecteurs: 2.5/5

Yescard, un an après
En 2001, le logiciel Gezerolee, dont nous vous relations l'existence dans ZATAZ Magazine numéro 1, sortait des méandres de l'Internet. Un logiciel écrit par un français, passionné par le recherche liée aux cartes bancaires. Décembre 2001, une série d'arrestations va toucher le monde des chercheurs Yescards, mais aussi, les escrocs. Sept mois après ce remue ménage, y-a-t-il encore de la recherche ? ZATAZ Magazine a mené l'enquête.

 

Après le fameux programme Gezerolee Box, ainsi que des programmes moins connus comme Redo Fac, Sirius, Matrix, CardXper et surtout CBcarbon, qui permettaient " d'émuler des cartes bancaires " de manière industrielle, une nouvelle génération de yescards seraient-elles en cours de création. Aujourd'hui plus question pour les chercheurs de diffuser leurs connaissances. Juste, pour eux, continuer à chercher comment cela fonctionne et continuer d'affirmer que la protection de nos cartes n'est pas si efficace que ça. Les anciennes Yescard, version 320 bits, sont aujourd'hui hors service, en effet pratiquement 99% des TPE, les terminaux de paiements, ont été remplacés. Une mise à jour qui a coûté très cher. Plusieurs Millions d'euros. Si cette modification, qui a pour but de voir disparaître la fraude à la yescard, ne sert à rien, il faudra de nouveau se poser la question au sujet de la sécurité de nos C.B.

Retour vers le futur
Les anciennes yescards, possédaient une clé de 320 bits. L'ingénieur Serge Humpich avait trouvé un moyen de passer cette "clé " en la modifiant et ainsi pouvoir copier intégralement une carte bancaire ! La Yescard est apparue a partir de cette découverte. Depuis novembre 1999, le GIE a rajouté sur nos cartes bancaires une valeur d'authentification rallongée de 768 bits. Cette valeur d'authentification, appelée VA est le résultat d'un cryptage RSA, entre diverse informations de la carte comme le code banque, le code pays, le code service ou encore le numéro à 16 chiffres. Grâce a cette clé de 768 bits, impossible de modifier les informations sur la carte, autrement dit impossible de modifier cette valeur d'authentification. La VS est le principal obstacle mais les terminaux modernes vérifient aussi le certificat Telepass grâce à un chiffrage DES.

Chercheurs sachant chercher
Plusieurs personnes de part le monde se sont lancés dans l'étude de nos cartes bancaires. Certains autres, comme Daniel J Bernstein, travaillent sur comment casser une clé RSA. Ce chercheur a d'ailleurs exposé dans un article comment mettre en place des systèmes qui factorisent très rapidement de grands nombres premiers. Il propose un saut qualitatif très important puisqu'il dit que des nombres de taille trois fois plus importants qu'actuellement pourraient être factorisés dans le même temps ! On en parle déjà comme le plus grand progrès en chiffrement depuis 10 ans.

D'autres chercheurs, comme ceux d'un groupe nommé Kan Corporation affirme pouvoir casser cette clé en peu de temps. Cette équipe de chercheurs pense qu'avec un nombre considérable de machine en réseau la clé VS ne va pas résister bien longtemps. D'où un secret bien gardé parmi ces chercheurs qui ne veulent pas être confondus avec les voleurs et autres escrocs. Il n'ont pas l'intention de laisser fuir des informations sur le réseau. On peut les comprendre, une diffusion relancerait cette course folle entre chercheurs, voleurs et forces de l'ordre. En espérant que cette fois- ci, les chercheurs seront pris en considérations, écoutés et aidés dans leurs recherches.

Fraude à al CB
La yescard, la carte qui dit toujours " oui ", a pour but d'émuler et de créer une fausse carte bancaire. Elle peut permettre de régler des achats en entrant n'importe quel mot de passe. Malgré certains génies de l'informatique, la GIE a réussi a contrer cette fraude massive en modifiant " la mémoire des cartes à puce ". Pourtant il existe toujours des fraudeurs à la carte bancaire, pour preuve, ce piratage de masse qui a permi à plusieurs stations services de la région parisienne de fabriquer des White card. En février dernier une dizaine de stations services de la région parisienne sont mises sur la sellette. Les pirates opéraient avec la complicité de pompistes. Ils avaient mis en place un boîtier qui recopiait la bande magnétique des cartes bancaires des victimes. Bilan du préjudice, ce n'est pour le moment qu'une estimation, 910 000 Euros, soit six millions de francs.

Comme vous l'aurez compris, cloner une carte 320 bits n'a plus aucun intérêt aujourd'hui car le terminaux de paiement refusent les cartes qui ne possèdent pas de valeur sécurisée. La seule barrière à la Yescard aujourd'hui est la valeur sécurisée présente sur les CB depuis novembre 99. S'il est vrai que les nouvelles cartes gèrent le certificat Telepass avec le 3e jeux secret, ce calcul ne gène en rien le fonctionnement du clone. Ce qui laisse présager, en cas de fuite, le retour des escrocs à la carte bancaire.

CB Carbon
Les chercheurs n'ont pas chômé depuis le début de l'année. Plusieurs logiciels ont vu le jour, ayant pour unique but, de comprendre le fonctionnement de nos C.B. Parmi ces logiciels, CBCarbon. Ce logiciel ne clône que les cartes bancaires émises après novembre 99, met permet de montrer l'efficacité des codeurs qui se cachent derrière ce genre de création. CBCarbon est d'une simplicité assez impressionnante. Il faut un lecteur de carte à puce et un programmateur qui va permettre de flasher le PIC d'une GoldWafer. Il suffit ensuite d'introduire la carte bancaire dans le lecteur, cliquer sur "Connecter". CB Carbone lit la carte et détermine s'il s'agit bien d'une carte bancaire. Aucun code secret n'est demandé ! Il ne reste plus qu'à cliquer sur "Cloner". Les informations vont être lues et un fichier hexadécimal, contenant les informations, n'ont plus qu'à être enregistrées sur le disque dur. Il ne reste plus qu'à placer la carte à puce vierge pour la flasher, en gros enregistrer les informations de votre fichier hexadécimal. Pas besoin de se préoccuper des réglages, CBCarbon s'en est déjà chargé. Le clone de la carte bancaire est opérationnel. Ce logiciel permet de tester le mode Telepass. CB Carbon envoie huit octets bidons à la demande de certification puis acquitte l'opération avec un 90 00. Dans la plupart des cas, l'achat est accepté. Si toutefois le terminal signale " Carte invalide ", c'est que ce dernier vérifie la certification. Des travaux autour de cet algorithme sont, paraît-il, en cours pour contourner cette vérification.

Vocabulaire
Un peu de vocabulaire ne fait pas de mal.

Clé : Procédé qui permet d'écrire sur une carte à puce mais qui ne permet pas de la copier intégralement.
RSA : Mode de chiffrement. RSA est tiré du nom de ses inventeurs : R.Rivest, A.Shamir et L.Adleman.
GIE : Groupement d'Interet Economique.
White card : Clone d'une carte bancaire en recopiant la bande magnétique.
Telepass : Ce certificat sert à crypter une transaction qui permet d'avoir un recours lorsque vous contestez un achat auprès de votre banque.
GoldWafer : Carte à puce vierge réinscriptible. (Définition simplifiée)

 

Conseiller cet article Réagir RSS ZATAZ Partager cet article sur Wikio Partager cet article sur Scoopeo Digger cet article ! Partager cet article avec mes amis sur Facebook ! Partager cet article sur Fuzz Partager cet article sur del.icio.us Envoyer cet article sur Blogmarks

Derniers contenus

Fuite de données d'auditeurs de France Info

29-04-2014 à 12:55 - 0 commentaire(s)

Ip, mail et système informatique des auditeurs web de France Info accessibles aux pirates.

Problème de sécurité pour M6 Boutique

29-04-2014 à 12:10 - 0 commentaire(s)

Un bug sur le site web de M6 Boutique pourrait permettre de piéger les clients de cet espace de télé achat.

Le contrôleur Européen de la Protection des Données a des fuites

29-04-2014 à 11:50 - 0 commentaire(s)

Le site Internet du Gardien Européen de la protection des données personnelles a des problèmes avec sa propre sécurité informatique.

Watch Dogs : plusieurs failles corrigées pour Chicago

28-04-2014 à 14:19 - 0 commentaire(s)

Plusieurs importants sites de la Ville de Chicago corrigés via le protocole d'alerte de zataz.

66 pays visés par un code malveillant dédié aux SMS

28-04-2014 à 11:51 - 0 commentaire(s)

SMS Android OS FakeInst, un logiciel malveillant qui utilise vos SMS pour détourner de l'argent.

Anonymous lance le projet AirChat

28-04-2014 à 11:40 - 0 commentaire(s)

AirChat, un projet Anonymous qui souhaite permettre la diffusion de données numériques par la bande FM.

Google rembourse des utilisateurs d'Android

28-04-2014 à 11:16 - 0 commentaire(s)

Un virus informatique cachée dans une application Android ? Google s'excuse et rembourse les internautes piégés.

Piratage d'une Université pour fabriquer des bitcoins

28-04-2014 à 11:02 - 0 commentaire(s)

Des pirates informatiques ont compromis cinq serveurs de l'Université de l'Iowa pour installer une fabrique de bitcoins.

Sur le même thème : Contrefaçon

Megaupload : 6 studios de cinéma déposent plainte

Deux ans après la fermeture de MegaUpload, six studios de cinéma américains déposent plainte contre l'ancien site de KimDotCom.

On écrase gratis

Une opération anti contrefaçon prévue jeudi en Algérie. Plus d'un million de DVD doivent être détruits.

Des jeux pirates sur Amazon

Pour quelques euros, 335 jeux Nintendo 3DS, DS, Dsi et DS Xl vendus sur Amazon.

Arrestation de l'administrateur de The Pirate Island

La Police Strasbourgeoise a arrêté ce mercredi matin l'administrateur du site de copies pirates The Pirate Island.

10 millions de MP3 diffusés, Delamusique.net fermé

Le site Internet delamusique.net fermé par la Gendarmerie Nationale pour avoir mis en accès libre 10 millions de Mp3.

Arrestation dans le warez Français

Un pro de la copie de films aurait été arrêté à Niort. Un membre de Vivarium dans les mains de la justices ?

Fuite aux Oscars : enquête interne en cours

Enquête interne aux Oscars après la diffusion de plusieurs copies uniquement adressées aux jurés.

Copie pirate du DVD de The Hobbit 2

Une contrefaçon du Hobbit 2 La Désolation de Smaug diffusée sur Internet. Une copie volée à un juré des Oscars ?

Vos réactions ( 0 )

Réagir

 


Syndication RSS

nabaztag

  • http://www.wikio.fr
  • netvibes
  • NewsGator Online
  • Rojo
  • Bloglines
  • Google

ZATAZ mobile et PDA