Publié le 27-08-2005 dans le thème Contrefaçon

Pays : International - Auteur : Damien Bancal

Pub : CA Personal Firewall 2007 - Contrecarrez les intrus!

Yescard, un an après
En 2001, le logiciel Gezerolee, dont nous vous relations l'existence dans ZATAZ Magazine numéro 1, sortait des méandres de l'Internet. Un logiciel écrit par un français, passionné par le recherche liée aux cartes bancaires. Décembre 2001, une série d'arrestations va toucher le monde des chercheurs Yescards, mais aussi, les escrocs. Sept mois après ce remue ménage, y-a-t-il encore de la recherche ? ZATAZ Magazine a mené l'enquête.

Après le fameux programme Gezerolee Box, ainsi que des programmes moins connus comme Redo Fac, Sirius, Matrix, CardXper et surtout CBcarbon, qui permettaient " d'émuler des cartes bancaires " de manière industrielle, une nouvelle génération de yescards seraient-elles en cours de création. Aujourd'hui plus question pour les chercheurs de diffuser leurs connaissances. Juste, pour eux, continuer à chercher comment cela fonctionne et continuer d'affirmer que la protection de nos cartes n'est pas si efficace que ça. Les anciennes Yescard, version 320 bits, sont aujourd'hui hors service, en effet pratiquement 99% des TPE, les terminaux de paiements, ont été remplacés. Une mise à jour qui a coûté très cher. Plusieurs Millions d'euros. Si cette modification, qui a pour but de voir disparaître la fraude à la yescard, ne sert à rien, il faudra de nouveau se poser la question au sujet de la sécurité de nos C.B.

Retour vers le futur
Les anciennes yescards, possédaient une clé de 320 bits. L'ingénieur Serge Humpich avait trouvé un moyen de passer cette "clé " en la modifiant et ainsi pouvoir copier intégralement une carte bancaire ! La Yescard est apparue a partir de cette découverte. Depuis novembre 1999, le GIE a rajouté sur nos cartes bancaires une valeur d'authentification rallongée de 768 bits. Cette valeur d'authentification, appelée VA est le résultat d'un cryptage RSA, entre diverse informations de la carte comme le code banque, le code pays, le code service ou encore le numéro à 16 chiffres. Grâce a cette clé de 768 bits, impossible de modifier les informations sur la carte, autrement dit impossible de modifier cette valeur d'authentification. La VS est le principal obstacle mais les terminaux modernes vérifient aussi le certificat Telepass grâce à un chiffrage DES.

Chercheurs sachant chercher
Plusieurs personnes de part le monde se sont lancés dans l'étude de nos cartes bancaires. Certains autres, comme Daniel J Bernstein, travaillent sur comment casser une clé RSA. Ce chercheur a d'ailleurs exposé dans un article comment mettre en place des systèmes qui factorisent très rapidement de grands nombres premiers. Il propose un saut qualitatif très important puisqu'il dit que des nombres de taille trois fois plus importants qu'actuellement pourraient être factorisés dans le même temps ! On en parle déjà comme le plus grand progrès en chiffrement depuis 10 ans.

D'autres chercheurs, comme ceux d'un groupe nommé Kan Corporation affirme pouvoir casser cette clé en peu de temps. Cette équipe de chercheurs pense qu'avec un nombre considérable de machine en réseau la clé VS ne va pas résister bien longtemps. D'où un secret bien gardé parmi ces chercheurs qui ne veulent pas être confondus avec les voleurs et autres escrocs. Il n'ont pas l'intention de laisser fuir des informations sur le réseau. On peut les comprendre, une diffusion relancerait cette course folle entre chercheurs, voleurs et forces de l'ordre. En espérant que cette fois- ci, les chercheurs seront pris en considérations, écoutés et aidés dans leurs recherches.

Fraude à al CB
La yescard, la carte qui dit toujours " oui ", a pour but d'émuler et de créer une fausse carte bancaire. Elle peut permettre de régler des achats en entrant n'importe quel mot de passe. Malgré certains génies de l'informatique, la GIE a réussi a contrer cette fraude massive en modifiant " la mémoire des cartes à puce ". Pourtant il existe toujours des fraudeurs à la carte bancaire, pour preuve, ce piratage de masse qui a permi à plusieurs stations services de la région parisienne de fabriquer des White card. En février dernier une dizaine de stations services de la région parisienne sont mises sur la sellette. Les pirates opéraient avec la complicité de pompistes. Ils avaient mis en place un boîtier qui recopiait la bande magnétique des cartes bancaires des victimes. Bilan du préjudice, ce n'est pour le moment qu'une estimation, 910 000 Euros, soit six millions de francs.

Comme vous l'aurez compris, cloner une carte 320 bits n'a plus aucun intérêt aujourd'hui car le terminaux de paiement refusent les cartes qui ne possèdent pas de valeur sécurisée. La seule barrière à la Yescard aujourd'hui est la valeur sécurisée présente sur les CB depuis novembre 99. S'il est vrai que les nouvelles cartes gèrent le certificat Telepass avec le 3e jeux secret, ce calcul ne gène en rien le fonctionnement du clone. Ce qui laisse présager, en cas de fuite, le retour des escrocs à la carte bancaire.

CB Carbon
Les chercheurs n'ont pas chômé depuis le début de l'année. Plusieurs logiciels ont vu le jour, ayant pour unique but, de comprendre le fonctionnement de nos C.B. Parmi ces logiciels, CBCarbon. Ce logiciel ne clône que les cartes bancaires émises après novembre 99, met permet de montrer l'efficacité des codeurs qui se cachent derrière ce genre de création. CBCarbon est d'une simplicité assez impressionnante. Il faut un lecteur de carte à puce et un programmateur qui va permettre de flasher le PIC d'une GoldWafer. Il suffit ensuite d'introduire la carte bancaire dans le lecteur, cliquer sur "Connecter". CB Carbone lit la carte et détermine s'il s'agit bien d'une carte bancaire. Aucun code secret n'est demandé ! Il ne reste plus qu'à cliquer sur "Cloner". Les informations vont être lues et un fichier hexadécimal, contenant les informations, n'ont plus qu'à être enregistrées sur le disque dur. Il ne reste plus qu'à placer la carte à puce vierge pour la flasher, en gros enregistrer les informations de votre fichier hexadécimal. Pas besoin de se préoccuper des réglages, CBCarbon s'en est déjà chargé. Le clone de la carte bancaire est opérationnel. Ce logiciel permet de tester le mode Telepass. CB Carbon envoie huit octets bidons à la demande de certification puis acquitte l'opération avec un 90 00. Dans la plupart des cas, l'achat est accepté. Si toutefois le terminal signale " Carte invalide ", c'est que ce dernier vérifie la certification. Des travaux autour de cet algorithme sont, paraît-il, en cours pour contourner cette vérification.

Vocabulaire
Un peu de vocabulaire ne fait pas de mal.
Clé : Procédé qui permet d'écrire sur une carte à puce mais qui ne permet pas de la copier intégralement.
RSA : Mode de chiffrement. RSA est tiré du nom de ses inventeurs : R.Rivest, A.Shamir et L.Adleman.
GIE : Groupement d'Interet Economique.
White card : Clone d'une carte bancaire en recopiant la bande magnétique.
Telepass : Ce certificat sert à crypter une transaction qui permet d'avoir un recours lorsque vous contestez un achat auprès de votre banque.
GoldWafer : Carte à puce vierge réinscriptible. (Définition simplifiée)

Vulnérabilité critique dans MessengerFX

Un client très populaire pour Windows Live Messenger, MessengerFX, laisse la possibilité à un pirate d'accéder à la liste des contacts d'un utilisateur légitime.

L’OTAN s'arme face aux cyberguerriers

Le Centre de formation à la défense contre des attaques cybernétiques sur Internet va ouvrir en Estonie.

Network Products Guide DefensePro

Radware reçoit le prix de l’innovation produit 2008 du Network Products Guide DefensePro, lauréat dans la catégorie de la sécurité comportementale.

Scene 1, bobine 2. Deconnexion de pirate Internet, action

La première déconnexion pour piratage de musique sur Internet vient de toucher un pirate informatique pas comme les autres. Un gouvernement !

Veni, Vidi, Wistee

Nouvelle attaque informatique de type hameçonnage visant les clients de Paypal. Wistee de nouveau exploité par des pirates.

NDS jugé non coupable de piratage informatique

Le jugement sur l'affaire du piratage du système de chiffrement des chaînes de télévision à péage se termine par le blanchiment du principal accusé, NDS.

Le SP3 a des ratés... bis !

Les problèmes du Service Pack 3 dédié à Windows XP n'a pas fini de pertuber les utilisateurs. Aujourd'hui, la fermeture intempestive de certains ordinateurs.

L'Eee PC 900 moins cher avec XP que sous Linux

Originalité marketing. L'ultra PC d'ASUS, l'Eee PC 900, sera vendu moins cher avec Windows XP qu'avec Linux.

Fermeture d'un espace DiVX sur la toile FR

Cap-DiVX, Un site Internet dédié aux téléchargements de productions cinématographiques piratées ferme son espace téléchargement à la suite d'une plainte.

Un portail torrent condamné: la MPA fait son cinéma

La MPA a annoncé une grande victoire. La condamnation du portail TorrentSpy. Un effet d'annonce contre une entreprise en dépôt de bilan.

Pirates arrêtés: Près de 4 tonnes de polycarbonates saisis

La police met fin au business pirate d'une usine pas comme les autres. Les autorités parlent d'une capacité à produire 7 millions de DVD pirates par an.

Jacky Chan contre les pirates

Protégez le cinéma, dites non aux pirates. L'acteur Chinois Jackie Chan met son image dans la balance anti-piratage de film.

Bienvenue chez les ch'tis n'1... sur le P2P

Pas de doute, le film de Dany Boon, Bienvenue chez les Ch'tis bat tout les records. Même du téléchargement sur la toile.

The Game Scene Chart Issue

Les pros du warez ont leur top 50. Ils s'affichent dans un classement qui doit amuser fortement les éditeurs de logiciels.

Warez devant les juges

Les membres d'Ethernet Site (TEN), Nite Ranger Hideout (NRH), et The Boxer Rebellion (TBR) devant la justice. Prison et amende dans la ligne de mire.

Des flics poilus à la maternelle

Les deux chiens renifleurs de DVD pirates, Lucky et Flo, font une tournée dans les écoles américaine.

Réagissez à ce contenu