MasterCard vante la fiabilité de sa carte à empreintes digitales malgré les risques de sécurité

En matière de paiement, MasterCard a expérimenté au fil des années plusieurs idées qui pourraient remplacer l’utilisation d’une carte bancaire classique, avec saisie du code à quatre chiffres lors du passage en caisse ou inscription des informations sur la carte, à savoir : le numéro de la carte, la date de fin de validité, le nom du titulaire et le cryptogramme visuel.

On a eu droit à des annonces à propos d’un bracelet mesurant le rythme cardiaque pour identifier l’acheteur, d’une reconnaissance faciale permettant de valider l’achat d’un produit commandé en ligne ou encore d’une utilisation des textiles intelligents pour faire du paiement sans contact. Et, forcément, il y a aussi eu des recherches sur l’identification biométrique via les empreintes digitales.

De toute évidence, cette dernière piste plaît beaucoup au géant américain. Ce jeudi 20 avril, MasterCard a en effet dévoilé une nouvelle génération de carte bancaire qui s’appuie sur des éléments biométriques du propriétaire pour lui permettre d’effectuer des achats ou réaliser des paiements sur les terminaux EMV (Europay mastercard Visa) avec ses empreintes digitales.

Comment ça marche ? Le propriétaire de la carte doit tout d’abord aller à sa banque pour y enregistrer une empreinte digitale. Celle-ci est alors convertie en un modèle numérique chiffré qui est stocké sur la carte. Une fois cette étape accomplie, la carte est prête pour être utilisée sur n’importe quel terminal EMV dans le monde. Il suffit alors de poser le doigt sur le capteur embarqué et le tour est joué.

L’empreinte est convertie en un modèle numérique chiffré qui est stocké sur la carte

Aucune manœuvre spéciale n’est requise: « au moment d’effectuer des achats en magasin, la carte biométrique fonctionne comme n’importe quelle autre carte à puce. Le détenteur de la carte l’insère tout simplement dans le terminal de paiement du commerçant », explique MasterCard. L’empreinte digitale lue par le capteur est comparée avec le gabarit de celle préalablement enregistrée sur la puce de la carte.

En cas de correspondance biométrique, alors la transaction est approuvée. Et la société l’assure pour ceux et celles qui s’inquiéteraient pour la sécurité de leur compte bancaire : « à aucun moment la carte n’a quitté la main de son titulaire ». D’ailleurs, c’est un point sur lequel insiste beaucoup MasterCard tout au long de son communiqué : la sécurité. Parfois, jusqu’à l’excès.

Confiance excessive dans la biométrie

En effet, le communiqué reprend une déclaration d’Ajay Bhalla, président de Global Enterprise Risk & Security chez Mastercard, qui déclare que « l’empreinte digitale contribue à fournir une sécurité supplémentaire et à favoriser une expérience d’achat plus fluide. En effet, on ne peut ni dérober, ni dupliquer une empreinte digitale ». Une affirmation plutôt surprenante pour un supposé spécialiste de la sécurité et des risques.

Du côté des smartphones par exemple, il a été démontré que le lecteur d’empreintes digitales du Samsung Galaxy S5 peut être compromis, tout comme celui du Galaxy S6, avec une simple imprimante (la police elle-même a d’ailleurs vite compris l’intérêt de la méthode). La technologie Touch ID conçue par Apple n’est pas épargnée : des techniques ont été mises au point pour la berner, assez facilement d’ailleurs.

CC Kevin Dooley

Et la résolution des photographies étant de plus en plus élevée, il suffit que vos doigts apparaissent à l’image pour qu’elles puissent être reproduites. « La qualité des photos, même celles prises avec des smartphones est aujourd’hui amplement suffisante pour en extraire les empreintes digitales », confirme Isao Echizen, professeur à l’Institut national d’informatique au Japon, cité par Science & Vie.

L’intéressé est l’auteur d’une recherche sur le sujet dans laquelle il montre qu’à partir d’une photo prise à cinq mètres de distance et avec un appareil de 20 mégapixels, le chercheur est parvenu à reproduire ses empreintes sur un faux doigt et à tromper les capteurs. Cela étant, la tendance aux smartphones avec un gros capteur photo est sur le déclin, même si Huawei, Microsoft et Sony en proposent toujours.

CC Valeria Boltneva

Dans le cas des vrais appareils photographiques par contre, qui proposent des résolutions parfois très élevées, le problème reste d’actualité. « Il est ensuite aisé de créer un faux doigt, en silicone ou autre, portant les empreintes volées, et avec celui-ci de tromper tous les capteurs du marché », explique Isao Echizen, qui conseille de ne plus faire le fameux V de la victoire avec ses doigts.

Cité par la BBC, Karsten Nohl, responsable scientifique au sein d’un laboratoire de recherche berlinois en sécurité, abonde en ce sens : « tout ce dont j’ai besoin est d’un verre ou de n’importe quel objet que vous avez touché préalablement » pour voler vos empreintes digitales. « Vous n’avez que neuf empreintes digitales de rechange avant d’être à court d’options », ajoute-t-il.

Pour l’heure, la carte bancaire biométrique de MasterCard a été testée en Afrique du Sud avec le concours des employés de Pick n Pay et de Absa Bank. Ces prochains mois, des essais supplémentaires seront effectués avec la carte biométrique, en particulier en Europe et en Asie-Pacifique. L’entreprise américaine prévoit un déploiement complet d’ici la fin de l’année.