Dchar-Amjad NFC Protocole-EMV - Historique des versions

AhmedDchar le 20 mars 2016 à 21:07

2016-03-20T21:07:53Z

← Version précédente		Version du 20 mars 2016 à 21:07
Ligne 72 :		Ligne 72 :
	L'idée est de générer tous les UN possible et de les mettre dans un dictionnaire que nous allons parcourir par la suite. On commence tous d'abord par définir la taille de l'UN:		L'idée est de générer tous les UN possible et de les mettre dans un dictionnaire que nous allons parcourir par la suite. On commence tous d'abord par définir la taille de l'UN:

	Length of UN = NumBitsSet( Ktrack ) - Ttrack		<div style="color:red;text-align:center;font-size:15pt;">Length of UN = NumBitsSet( Ktrack ) - Ttrack</div>

	Ktrack : Le nombre de bit à 1 dans le « track map ».
	~~Ttrack~~ : Le nombre de ~~chiffres~~ de ~~l'ATC~~.		* Ktrack : Le nombre de bit à 1 dans le « track map ».
			* Ttrack : Le nombre de chiffres de l'ATC.

			Exemple de calcule d'un UN de 4 octet:
			* 4 bytes binary = 232 values = 4,294,967,296
			* 4 bytes BCD = 108 values = 100,000,000
			* UN length of 2 = 102 values = 10

	Les étapes à suivre pour cloner les transactions sont les suivantes:		Les étapes à suivre pour cloner les transactions sont les suivantes:

AhmedDchar le 20 mars 2016 à 20:12

2016-03-20T20:12:40Z

← Version précédente		Version du 20 mars 2016 à 20:12
Ligne 24 :		Ligne 24 :
	== EMV-TLS ==		== EMV-TLS ==

	C'est un protocole basé sur TLS ( preshared key "TLS-PSK" ) et EMV. Une carte compatible EMV est identifier par un numéro unique (PAN), contient une clé symétrique pour générer les cryptogrammes et au moins un certificat RSA, elle peut contenir aussi une clé privé RSA. Ce protocole permet de se protéger contre les attaques de type physhing et homme du milieu. Et les paramètres PSK (id, ctg, psk) sont ~~stocké~~ dans la puce.		C'est un protocole basé sur TLS ( preshared key "TLS-PSK" ) et EMV. Une carte compatible EMV est identifier par un numéro unique (PAN), contient une clé symétrique pour générer les cryptogrammes et au moins un certificat RSA, elle peut contenir aussi une clé privé RSA. Ce protocole permet de se protéger contre les attaques de type physhing et homme du milieu. Et les paramètres PSK (id, ctg, psk) sont stockés dans la puce.

	+-----------+ TLS-PSK +-------------+ +----------+		+-----------+ TLS-PSK +-------------+ +----------+
Ligne 43 :		Ligne 43 :
	* PSK-RSA: combine une authentification à clé public coté serveur avec une authentification à clé partagé.		* PSK-RSA: combine une authentification à clé public coté serveur avec une authentification à clé partagé.

			Ce protocole est donc plus sure que le simple EMV, mais ce dernier est plus adapté pour les transactions bancaires en ligne.


	= Vulnérabilités =		= Vulnérabilités =
Ligne 105 :		Ligne 105 :

	Bien que l'utilisation de cette technologie est ancienne, Les protocoles de sécurité restent trop vulnérable. De plus, changer le système mondial reviendrait beaucoup plus cher que les piratages, on peut donc dire que pour les autorités responsable, les dommages restent à un niveau acceptable.		Bien que l'utilisation de cette technologie est ancienne, Les protocoles de sécurité restent trop vulnérable. De plus, changer le système mondial reviendrait beaucoup plus cher que les piratages, on peut donc dire que pour les autorités responsable, les dommages restent à un niveau acceptable.

			= Webographie =
			[https://tools.ietf.org/html/draft-urien-tls-psk-emv-02 Draft TLS-EMV]
			[http://www.cs.bham.ac.uk/~deruitej/papers/phdthesis.pdf EMV analysis]

AhmedDchar le 20 mars 2016 à 19:59

2016-03-20T19:59:46Z

← Version précédente		Version du 20 mars 2016 à 19:59
Ligne 24 :		Ligne 24 :
	== EMV-TLS ==		== EMV-TLS ==

	C'est un protocole basé sur TLS ( preshared key "TLS-PSK" ) et EMV. Une carte compatible EMV est identifier par un numéro unique (PAN), contient une clé symétrique pour générer les cryptogrammes et au moins un certificat RSA, elle peut contenir aussi une clé privé RSA. Ce protocole permet de se protéger contre les attaques de type physhing et homme du milieu. ~~Les~~ paramètres PSK (id, ctg) sont stocké dans la puce.		C'est un protocole basé sur TLS ( preshared key "TLS-PSK" ) et EMV. Une carte compatible EMV est identifier par un numéro unique (PAN), contient une clé symétrique pour générer les cryptogrammes et au moins un certificat RSA, elle peut contenir aussi une clé privé RSA. Ce protocole permet de se protéger contre les attaques de type physhing et homme du milieu. Et les paramètres PSK (id, ctg, psk) sont stocké dans la puce.

	+-----------+ TLS-PSK +-------------+ +----------+		+-----------+ TLS-PSK +-------------+ +----------+
Ligne 37 :		Ligne 37 :
	\|DEVICE\| \| EMV-ID \| PAN \| Other \| +-----+		\|DEVICE\| \| EMV-ID \| PAN \| Other \| +-----+
	+------+ +--------+-----+-------+		+------+ +--------+-----+-------+

			L'utilisateur peut choisir parmis 3 mode de chiffrement:
			* PSK: utilise un chiffrement symétrique pour l'authentification.
			* PSK-DHL: utilise Diffie-Hellman avec une clé partagé.
			* PSK-RSA: combine une authentification à clé public coté serveur avec une authentification à clé partagé.

AhmedDchar le 20 mars 2016 à 19:33

2016-03-20T19:33:16Z

← Version précédente		Version du 20 mars 2016 à 19:33
Ligne 1 :		Ligne 1 :
	= Comment marche le NFC ? =		= Comment marche le NFC ? =

	Avant de parler du NFC, il faut faire ~~une~~ petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, ~~Méthodes~~ de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.		Avant de parler du NFC, il faut faire un petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, les méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.

	La NFC, ou Near Field Communication (Communication dans un champ proche), est une technologie simple qui permet d'utiliser un téléphone portable, une carte ou un badge à des fins divers et varié . Un tag NFC peut être relié à des informations telles qu’une page Web, des réseaux sociaux et toutes sortes d'autres informations en général. Les autres domaines dans lesquels la NFC commence à évoluer sont le paiement, l'ouverture de porte avec des serrures sécurisées sans contact, la connexion à des ordinateurs et bien d'autres encore.		La NFC, ou Near Field Communication (Communication dans un champ proche), est une technologie simple qui permet d'utiliser un téléphone portable, une carte ou un badge à des fins divers et varié . Un tag NFC peut être relié à des informations telles qu’une page Web, des réseaux sociaux et toutes sortes d'autres informations en général. Les autres domaines dans lesquels la NFC commence à évoluer sont le paiement, l'ouverture de porte avec des serrures sécurisées sans contact, la connexion à des ordinateurs et bien d'autres encore.

	Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité		Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité.

	= Protocoles d'échange =		= Protocoles d'échange =
Ligne 20 :		Ligne 20 :
	* Un contrôle plus précis pour les transactions par carte bancaire «hors ligne».		* Un contrôle plus précis pour les transactions par carte bancaire «hors ligne».

	A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens ~~trouvé~~ pour s'en prémunir.		A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens qui existent pour s'en prémunir.

	== EMV-TLS ==		== EMV-TLS ==

			C'est un protocole basé sur TLS ( preshared key "TLS-PSK" ) et EMV. Une carte compatible EMV est identifier par un numéro unique (PAN), contient une clé symétrique pour générer les cryptogrammes et au moins un certificat RSA, elle peut contenir aussi une clé privé RSA. Ce protocole permet de se protéger contre les attaques de type physhing et homme du milieu. Les paramètres PSK (id, ctg) sont stocké dans la puce.
	...

			+-----------+ TLS-PSK +-------------+ +----------+
			\| \|<------->\| \| (PAN,EMV-CTG) \| ISSUER \|
			\| USER \| EMV-ID \| WEB \| ------------> \| AUTH. \|
			\| \| EMV-CTG \| SITE \| OK \| SERVER \|
			\| \| EMV-PSK \| \| <----------- \| \|
			+----+------+ +------+------+ +-----+----+
			! ! !
			+---v--+ ! DATABASE +--+--+
			\| EMV \| +--------+-----+-------+ \| HSM \|
			\|DEVICE\| \| EMV-ID \| PAN \| Other \| +-----+
			+------+ +--------+-----+-------+


	= Vulnérabilités =		= Vulnérabilités =

	Les failles les plus dangereuse viennent du protocole EMV utilisé pour sécuriser l'échange entre la carte NFC et le terminal de payement. Le type de carte est aussi important puisque chaque carte implémente des protocoles légèrement différents ~~: PayWave créé par Visa qui se décline en~~ :		Les failles les plus dangereuse viennent du protocole EMV utilisé pour sécuriser l'échange entre la carte NFC et le terminal de payement. Le type de carte est aussi important puisque chaque carte implémente des protocoles légèrement différents :

			PayWave créé par Visa qui se décline en :
	* MSD pour le sans-contact en mode piste (ISO)		* MSD pour le sans-contact en mode piste (ISO)
	* qVSDC pour le sans-contact en mode puce (EMV)		* qVSDC pour le sans-contact en mode puce (EMV)
	* VSDC pour le sans-contact en mode puce : ce mode est optionnel ~~PayPass créé par Mastercard qui se décline en :~~		* VSDC pour le sans-contact en mode puce : ce mode est optionnel

⚫	* MagStripe pour le sans-contact en mode piste (ISO~~) • M/Chip pour le sans-contact en mode puce (EMV~~)
			PayPass créé par Mastercard qui se décline en :
		⚫	* MagStripe pour le sans-contact en mode piste (ISO)
			* M/Chip pour le sans-contact en mode puce (EMV)

	== Génération de nombres imprévisibles ==		== Génération de nombres imprévisibles ==

AhmedDchar le 20 mars 2016 à 15:54

2016-03-20T15:54:47Z

← Version précédente		Version du 20 mars 2016 à 15:54
Ligne 1 :		Ligne 1 :
	= Comment marche le NFC ? =		= Comment marche le NFC ? =

	== Généralités ==

	Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, Méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.		Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, Méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.
Ligne 9 :		Ligne 7 :
	Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité		Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité

			= Protocoles d'échange =
⚫	== ~~Protocole~~ EMV ==

		⚫	== EMV ==

	Europay Mastercard Visa, abrégé par le sigle EMV, est depuis 1995 le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs :		Europay Mastercard Visa, abrégé par le sigle EMV, est depuis 1995 le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs :
Ligne 22 :		Ligne 22 :
	A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens trouvé pour s'en prémunir.		A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens trouvé pour s'en prémunir.

			== EMV-TLS ==

			...

	= Vulnérabilités =		= Vulnérabilités =
Ligne 58 :		Ligne 60 :


	== Dépassement du plafond ~~autorise~~ ==		== Dépassement du plafond autoriser ==

	En 2014, des chercheurs de l'université de Newcastle ont repéré une énorme faille dans le protocole EMV permettant de dépasser le plafond de 20 euro ( en France ). Il suffit de faire la transaction dans une devise étrangère et le tour est joué, on peut donc atteindre un plafond de 999.999,99$ et le vérifier au près de l'autorité de payment.		En 2014, des chercheurs de l'université de Newcastle ont repéré une énorme faille dans le protocole EMV permettant de dépasser le plafond de 20 euro ( en France ). Il suffit de faire la transaction dans une devise étrangère et le tour est joué, on peut donc atteindre un plafond de 999.999,99$ et le vérifier au près de l'autorité de payment.

AhmedDchar le 20 mars 2016 à 15:29

2016-03-20T15:29:23Z

← Version précédente		Version du 20 mars 2016 à 15:29
Ligne 67 :		Ligne 67 :

	= Comment se prémunir des risques du NFC ? =		= Comment se prémunir des risques du NFC ? =

			De nouvelle faille sont découverte chaque année dans le protocoles EMV, il devient donc urgent de se prémunir, qu'il s'agit de notre carte bancaire sans contact ou notre carte de transport, ça constitue un réel danger ( vol, espionnage, ... ).

			Plusieurs solutions existent, la première et la plus radicale c'est de ne pas utiliser le NFC dans les domaines sensibles ( carte bancaire, accès au bâtiment sécurisé ). La deuxième c'est l'utilisation de produits pulvériser d'aluminium qui bloquent les signaux RFID, ça peut être un étuis de carte,un portefeuille en aluminium ou simplement un billet qu'on place dans notre portefeuille. Il faut toutefois faire attention au marque, voici une liste de marque reconnu et testé :
			* Stop-RFID
			* Koruma
			* Safe Pocket


	= Conclusion =		= Conclusion =

			Bien que l'utilisation de cette technologie est ancienne, Les protocoles de sécurité restent trop vulnérable. De plus, changer le système mondial reviendrait beaucoup plus cher que les piratages, on peut donc dire que pour les autorités responsable, les dommages restent à un niveau acceptable.

AhmedDchar le 20 mars 2016 à 15:27

2016-03-20T15:27:11Z

@@ Ligne 41 : / Ligne 41 : @@
 * Générer un CVV dynamique par le terminal de payment.
 * Envoie au processeur de payement pour le verifier.
 == Dépassement du plafond autorise ==

AhmedDchar le 20 mars 2016 à 15:10

2016-03-20T15:10:08Z

@@ Ligne 1 : / Ligne 1 : @@
 = Comment marche le NFC ? =
 == Généralités ==
@@ Ligne 12 : / Ligne 11 : @@
 == Protocole EMV ==
 = Vulnérabilités =
 == Génération de nombres imprévisibles ==
 == Dépassement du plafond autorise ==

AhmedDchar le 20 mars 2016 à 15:02

2016-03-20T15:02:11Z

← Version précédente		Version du 20 mars 2016 à 15:02
Ligne 1 :		Ligne 1 :
	== Comment marche le NFC ? ==		= Comment marche le NFC ? =


	= Généralités =		== Généralités ==

	Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, Méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.		Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, Méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.
Ligne 10 :		Ligne 10 :
	Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité		Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité

	= Protocole EMV =		== Protocole EMV ==

	Europay Mastercard Visa, abrégé par le sigle EMV, est depuis 1995 le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs : • Europay International (absorbé par Mastercard en 2002) • MasterCard International • Visa International La norme EMV spécifie l'interopérabilité entre les cartes EMV à puces et les terminaux de paiement EMV à travers le monde. Le passage à la Norme EMV sur les cartes de paiement apporte les deux avantages suivants : • Amélioration de la sécurité. • Un contrôle plus précis pour les transactions par carte bancaire «hors ligne» A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens trouvé pour s'en prémunir.		Europay Mastercard Visa, abrégé par le sigle EMV, est depuis 1995 le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs : • Europay International (absorbé par Mastercard en 2002) • MasterCard International • Visa International La norme EMV spécifie l'interopérabilité entre les cartes EMV à puces et les terminaux de paiement EMV à travers le monde. Le passage à la Norme EMV sur les cartes de paiement apporte les deux avantages suivants : • Amélioration de la sécurité. • Un contrôle plus précis pour les transactions par carte bancaire «hors ligne» A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens trouvé pour s'en prémunir.
Ligne 16 :		Ligne 16 :


	== Vulnérabilités ==		= Vulnérabilités =

	= Génération de nombres imprévisibles =		== Génération de nombres imprévisibles ==

	= Dépassement du plafond autorise =		== Dépassement du plafond autorise ==


	== Comment se prémunir des risques du NFC ? ==		= Comment se prémunir des risques du NFC ? =


	== Conclusion ==		= Conclusion =

AhmedDchar : Page créée avec « == Comment marche le NFC ? == = Généralités = Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antenne... »

2016-03-20T15:01:04Z

Page créée avec « == Comment marche le NFC ? == = Généralités = Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antenne... »

Nouvelle page

== Comment marche le NFC ? ==

= Généralités =

Avant de parler du NFC, il faut faire une petit tour du coté du RFID qui englobe plusieurs types de puces et d'antennes. Ce qui différencie ces derniers c'est : Le type de codage des données, Méthodes de lecture et d’écritures ainsi que la distance nécessaire à la lecture de ces données.

La NFC, ou Near Field Communication (Communication dans un champ proche), est une technologie simple qui permet d'utiliser un téléphone portable, une carte ou un badge à des fins divers et varié . Un tag NFC peut être relié à des informations telles qu’une page Web, des réseaux sociaux et toutes sortes d'autres informations en général. Les autres domaines dans lesquels la NFC commence à évoluer sont le paiement, l'ouverture de porte avec des serrures sécurisées sans contact, la connexion à des ordinateurs et bien d'autres encore.

Contrairement au Bluetooth et au WiFi, la NFC permet de faire un lien entre une fonctionnalité virtuelle et un objet physique de tous les jours, facilement sans couplage préalable. Ce qui ouvre le champs à plusieurs applications mais aussi à de très gros problèmes de sécurité

= Protocole EMV =

Europay Mastercard Visa, abrégé par le sigle EMV, est depuis 1995 le standard international de sécurité des cartes de paiement (cartes à puce). Il tire son nom des organismes fondateurs : • Europay International (absorbé par Mastercard en 2002) • MasterCard International • Visa International La norme EMV spécifie l'interopérabilité entre les cartes EMV à puces et les terminaux de paiement EMV à travers le monde. Le passage à la Norme EMV sur les cartes de paiement apporte les deux avantages suivants : • Amélioration de la sécurité. • Un contrôle plus précis pour les transactions par carte bancaire «hors ligne» A son époque, on le considérait comme un protocole d'échange fiable et sécurisé d’où son utilisation dans le payement NFC partout dans le monde. De nos jours ce protocole est remis en questions trop souvent, chaque année plusieurs failles sont découverte. On en détaillera un exemple dans le chapitre suivants ainsi que les différents moyens trouvé pour s'en prémunir.

== Vulnérabilités ==

= Génération de nombres imprévisibles =

= Dépassement du plafond autorise =

== Comment se prémunir des risques du NFC ? ==

== Conclusion ==