Publié le 27-08-2005 dans le thème Contrefaçon

Pays : International - Auteur : Damien Bancal

Pub : Tous les antivirus en ligne pour désinfecter votre ordinateur

Yescard, un an après
En 2001, le logiciel Gezerolee, dont nous vous relations l'existence dans ZATAZ Magazine numéro 1, sortait des méandres de l'Internet. Un logiciel écrit par un français, passionné par le recherche liée aux cartes bancaires. Décembre 2001, une série d'arrestations va toucher le monde des chercheurs Yescards, mais aussi, les escrocs. Sept mois après ce remue ménage, y-a-t-il encore de la recherche ? ZATAZ Magazine a mené l'enquête.

Après le fameux programme Gezerolee Box, ainsi que des programmes moins connus comme Redo Fac, Sirius, Matrix, CardXper et surtout CBcarbon, qui permettaient " d'émuler des cartes bancaires " de manière industrielle, une nouvelle génération de yescards seraient-elles en cours de création. Aujourd'hui plus question pour les chercheurs de diffuser leurs connaissances. Juste, pour eux, continuer à chercher comment cela fonctionne et continuer d'affirmer que la protection de nos cartes n'est pas si efficace que ça. Les anciennes Yescard, version 320 bits, sont aujourd'hui hors service, en effet pratiquement 99% des TPE, les terminaux de paiements, ont été remplacés. Une mise à jour qui a coûté très cher. Plusieurs Millions d'euros. Si cette modification, qui a pour but de voir disparaître la fraude à la yescard, ne sert à rien, il faudra de nouveau se poser la question au sujet de la sécurité de nos C.B.

Retour vers le futur
Les anciennes yescards, possédaient une clé de 320 bits. L'ingénieur Serge Humpich avait trouvé un moyen de passer cette "clé " en la modifiant et ainsi pouvoir copier intégralement une carte bancaire ! La Yescard est apparue a partir de cette découverte. Depuis novembre 1999, le GIE a rajouté sur nos cartes bancaires une valeur d'authentification rallongée de 768 bits. Cette valeur d'authentification, appelée VA est le résultat d'un cryptage RSA, entre diverse informations de la carte comme le code banque, le code pays, le code service ou encore le numéro à 16 chiffres. Grâce a cette clé de 768 bits, impossible de modifier les informations sur la carte, autrement dit impossible de modifier cette valeur d'authentification. La VS est le principal obstacle mais les terminaux modernes vérifient aussi le certificat Telepass grâce à un chiffrage DES.

Chercheurs sachant chercher
Plusieurs personnes de part le monde se sont lancés dans l'étude de nos cartes bancaires. Certains autres, comme Daniel J Bernstein, travaillent sur comment casser une clé RSA. Ce chercheur a d'ailleurs exposé dans un article comment mettre en place des systèmes qui factorisent très rapidement de grands nombres premiers. Il propose un saut qualitatif très important puisqu'il dit que des nombres de taille trois fois plus importants qu'actuellement pourraient être factorisés dans le même temps ! On en parle déjà comme le plus grand progrès en chiffrement depuis 10 ans.

D'autres chercheurs, comme ceux d'un groupe nommé Kan Corporation affirme pouvoir casser cette clé en peu de temps. Cette équipe de chercheurs pense qu'avec un nombre considérable de machine en réseau la clé VS ne va pas résister bien longtemps. D'où un secret bien gardé parmi ces chercheurs qui ne veulent pas être confondus avec les voleurs et autres escrocs. Il n'ont pas l'intention de laisser fuir des informations sur le réseau. On peut les comprendre, une diffusion relancerait cette course folle entre chercheurs, voleurs et forces de l'ordre. En espérant que cette fois- ci, les chercheurs seront pris en considérations, écoutés et aidés dans leurs recherches.

Fraude à al CB
La yescard, la carte qui dit toujours " oui ", a pour but d'émuler et de créer une fausse carte bancaire. Elle peut permettre de régler des achats en entrant n'importe quel mot de passe. Malgré certains génies de l'informatique, la GIE a réussi a contrer cette fraude massive en modifiant " la mémoire des cartes à puce ". Pourtant il existe toujours des fraudeurs à la carte bancaire, pour preuve, ce piratage de masse qui a permi à plusieurs stations services de la région parisienne de fabriquer des White card. En février dernier une dizaine de stations services de la région parisienne sont mises sur la sellette. Les pirates opéraient avec la complicité de pompistes. Ils avaient mis en place un boîtier qui recopiait la bande magnétique des cartes bancaires des victimes. Bilan du préjudice, ce n'est pour le moment qu'une estimation, 910 000 Euros, soit six millions de francs.

Comme vous l'aurez compris, cloner une carte 320 bits n'a plus aucun intérêt aujourd'hui car le terminaux de paiement refusent les cartes qui ne possèdent pas de valeur sécurisée. La seule barrière à la Yescard aujourd'hui est la valeur sécurisée présente sur les CB depuis novembre 99. S'il est vrai que les nouvelles cartes gèrent le certificat Telepass avec le 3e jeux secret, ce calcul ne gène en rien le fonctionnement du clone. Ce qui laisse présager, en cas de fuite, le retour des escrocs à la carte bancaire.

CB Carbon
Les chercheurs n'ont pas chômé depuis le début de l'année. Plusieurs logiciels ont vu le jour, ayant pour unique but, de comprendre le fonctionnement de nos C.B. Parmi ces logiciels, CBCarbon. Ce logiciel ne clône que les cartes bancaires émises après novembre 99, met permet de montrer l'efficacité des codeurs qui se cachent derrière ce genre de création. CBCarbon est d'une simplicité assez impressionnante. Il faut un lecteur de carte à puce et un programmateur qui va permettre de flasher le PIC d'une GoldWafer. Il suffit ensuite d'introduire la carte bancaire dans le lecteur, cliquer sur "Connecter". CB Carbone lit la carte et détermine s'il s'agit bien d'une carte bancaire. Aucun code secret n'est demandé ! Il ne reste plus qu'à cliquer sur "Cloner". Les informations vont être lues et un fichier hexadécimal, contenant les informations, n'ont plus qu'à être enregistrées sur le disque dur. Il ne reste plus qu'à placer la carte à puce vierge pour la flasher, en gros enregistrer les informations de votre fichier hexadécimal. Pas besoin de se préoccuper des réglages, CBCarbon s'en est déjà chargé. Le clone de la carte bancaire est opérationnel. Ce logiciel permet de tester le mode Telepass. CB Carbon envoie huit octets bidons à la demande de certification puis acquitte l'opération avec un 90 00. Dans la plupart des cas, l'achat est accepté. Si toutefois le terminal signale " Carte invalide ", c'est que ce dernier vérifie la certification. Des travaux autour de cet algorithme sont, paraît-il, en cours pour contourner cette vérification.

Vocabulaire
Un peu de vocabulaire ne fait pas de mal.
Clé : Procédé qui permet d'écrire sur une carte à puce mais qui ne permet pas de la copier intégralement.
RSA : Mode de chiffrement. RSA est tiré du nom de ses inventeurs : R.Rivest, A.Shamir et L.Adleman.
GIE : Groupement d'Interet Economique.
White card : Clone d'une carte bancaire en recopiant la bande magnétique.
Telepass : Ce certificat sert à crypter une transaction qui permet d'avoir un recours lorsque vous contestez un achat auprès de votre banque.
GoldWafer : Carte à puce vierge réinscriptible. (Définition simplifiée)

L´ANSSI recrute de manière originale

06-02-2012 à 19:16 - 0 commentaire(s)

INFO ZATAZ - L´Agence Nationale de la Sécurité des Système d'Information lance un recrutement fort sympathique pour les amateurs de chiffrement.

Nouvelle attaque à l´encontre des clients du Crédit Agricole

05-02-2012 à 10:43 - 0 commentaire(s)

INFO ZATAZ - Nouvelle tentative de vol de données bancaires appartenant aux clients de la banque française Crédit Agricole.

Sauvegarde des conversations téléphoniques pour France télévision

04-02-2012 à 11:42 - 0 commentaire(s)

INFO ZATAZ - Un document intéressant mis à jour sur Internet visant les sociétés souhaitant faire du business avec France Télévision.

Faille sur le site Wikileaks

04-02-2012 à 11:27 - 0 commentaire(s)

INFO ZATAZ - Une faille sur le site Wikileaks permet d´afficher n´importe quoi, donc de fausses informations, sur le portail international d´information.

Piège sur Facebook

04-02-2012 à 10:59 - 0 commentaire(s)

INFO ZATAZ - Un escroc se fait passer pour Coca Cola, sur Facebook, afin de mettre la main sur vos données privées.

Arnaque aux logements

04-02-2012 à 10:53 - 0 commentaire(s)

INFO ZATAZ - Depuis quelques heures, un escroc tente de louer de faux appartements en région parisienne. ZATAZ vous l´a délogé.

Une conférence téléphonique du FBI piratée par des Anonymous

04-02-2012 à 10:21 - 1 commentaire(s)

INFO ZATAZ - Une conférence téléphonique entre FBI et plusieurs polices européennes, dont la France, au sujet des Anonymous, interceptée.

La Ville de Chambéry corrige une fuite de données

04-02-2012 à 10:05 - 1 commentaire(s)

INFO ZATAZ - Avec l´aide du CERTA, le site Internet de la ville de Chambéry bouche une fuite de données concernant les administrés de cette commune Française.

Prison ferme et lourde amende pour des pirates de film

4 mois ferme, plus de 77 000 euros d´amende. Sept pirates de film du nord de la France condamané par le Tribunal de Béthune.

Le boss de MegaUpload aurait besoin d´argent

INFO ZATAZ - Kim DotCom, le fondateur de MegaUpload aurait besoin d´argent... pour relancer son système.

MegaUpload est mort… et alors ?

MegaUpload est mort, des dizaines de sites et projets parallèles ont déjà pris la relève.

Nuit de folie après la fermeture de MegaUpload

ZATAZ.COM vous propose le résumé de cette nuit de folie ayant touché Internet. Une vague numérique après la fermeture de MegaUpload par le FBI. L´Oncle Sam a-t-il voulu se faire la peau du mythomane numéro 1 du web ?

The Artist piraté !

Une copie du film The artist diffusé sur Internet. Le watermark des Césars apparait dans la contrefaçon.

MegaUpload ne répond plus

La justice américaine fait fermer MegaUpload. Le site de stockage est accusé de faciliter le piratage de films.

Piratage des DVD des Césars, il y en aurait d´autres

Les pros du Warez auraient en main d´autres films sortis du Coffret DVD César, un master box VIP à destination des membres du jury des Césars.

Nouvelle fuite pour un film des Césars

INFO ZATAZ - Un DVD pirate du film Polisse diffusé sur Internet. De nouveau, le watermark de l'Académie des Arts et Techniques du cinéma se retrouve sur la production contrefaite.

Réagissez à ce contenu