EESTEL. Experts Européens en Systèmes de Transactions Electroniques. Apple iphone 6, Apple Pay, Quoi d autre? EESTEL Livre Blanc. Le 29 octobre 2014

Transcription

1 EESTEL Livre Blanc Le 29 octobre 2014 Apple iphone 6, Apple Pay, Quoi d autre?

2 Le 9 septembre 2014, Apple a lancé trois produits majeurs : l iphone 6, l Apple Watch et Apple Pay. Le 17 septembre 2014, Apple a également lancé l ipad Air 2 et l ipad mini 3 équipés de la même technologie et Apple Pay est opérationnel. Les experts d EESTEL vous livrent ici quelques clés, en fonction des informations dont ils disposent. Enregistrement d une carte dans

3 Qu est-ce qui est nouveau dans l iphone 6? L iphone 6 a-t-il le NFC? OUI. Mais le NFC n est utilisable que par des applications certifiées Apple. A l heure actuelle, le NFC semble réservé uniquement à Apple Pay. Y a-t-il un «secure element» dans l iphone 6? OUI. Le chip NXP PN65V contient à la fois un contrôleur NFC et un Secure Element Smart MX embarqué. Ce SE n est utilisable que par des applications certifiées Apple. Le secure element contient des applets de paiement (une pour chaque système carte), des données sensibles, des clés et des capacités cryptographiques pour effectuer des calculs avec ces éléments. Quelles caractéristiques de l iphone 5 restent dans l iphone 6? Y a-t-il un lecteur d empreinte digitales dans l iphone 6? OUI. Le même que dans l iphone 5. Y a-t-il toujours une Secure Enclave dans l iphone 6? OUI. La secure enclave, lancée avec l iphone 5, est un coprocesseur A8 gérant une mémoire protégée (une zone de confiance). La secure enclave abrite de manière sécuritaire un ID unique par appareil, le code PIN du téléphone et le résultat du calcul des empreintes. Mais la secure enclave n est utilisable que par des applications Apple. Le lecteur d empreinte est-il sûr? NON Mais OUI! Il est techniquement possible de faire une contrefaçon d empreinte, et de leurrer le lecteur, mais cela nécessite du matériel, des compétences techniques et pas mal de temps. En outre, l empreinte est la seconde barrière pour accéder à l iphone : après une extinction, l on doit frapper à nouveau son code PIN. Après trois essais infructueux d empreintes, on doit également retaper son code PIN.

4 Quoi de nouveau avec Apple Pay? Est-ce la première fois qu Apple s implique dans le paiement? NON et OUI. Apple est un commerçant avec son ITunes store et son Apple store, avec un système de paiement privé avec lequel on peut acheter plusieurs objets et payer une facture unique. Mais c est la première fois qu Apple s immisce dans les systèmes de paiement en tant que fournisseur d un système de paiement sécurisé sur mobile, en utilisant de nouvelles technologies comme la Tokenisation et la biométrie Est-ce une nouvelle méthode de paiement? NON. Vous pouvez déjà payer avec un smartphone (ANDROID) et une application d émulation carte embarquée dans la SIM de l opérateur (Cityzi). Les données de ma carte bancaire sont-elles protégées? OUI. Quand vous vous enregistrez dans le système, on vous donne un numéro de carte virtuel lié à votre vrai numéro de carte et à l identifiant unique de votre iphone. Ce numéro de carte virtuel et les données relatives sont stockés dans le secure element de l iphone. Seul le «Token Service Provider» gère la relation entre le numéro de carte virtuel et le vrai numéro de carte, sous la responsabilité du réseau carte. Mon paiement est-il sécurisé? OUI. Avec une exception : si votre smartphone, ainsi que votre empreinte vous ont été volés, et que vous ne l avez pas déclaré. Dans les autres cas, quand vous faites un paiement, votre numéro de carte virtuel, ainsi que les données de la transaction sont envoyés chiffrés au Token Service provider, qui déchiffre, vérifie vos identités (carte et ID du téléphone), envoie une demande d autorisation à l émetteur, et, si tout est correct, valide la transaction avec le commerçant. Dois-je changer ma carte CB si mon téléphone est volé? NON. Dès que je déclare le vol, mon numéro de carte virtuel est désactivé. Apple Pay est-il disponible en France? PAS encore. Apple Pay est seulement disponible aux Etats-Unis. Il devrait être disponible en Europe en Apple Pay est-il conforme EMV? OUI. La cryptographie, ainsi que le mécanisme de tokenization utilisés sont conformes aux spécifications EMV / PCI. Apple Pay est-il compatible HCE? NON. L architecture de paiement Apple est différente des spécifications HCE et ne cherche pas à s en approcher (à notre connaissance). Carte Mère de l iphone 6

5 Quel est le modèle économique d Apple Pay? Le commerçant et le client ne sont pas sollicités dans le modèle économique d Apple Pay, cependant il devrait y avoir des accords entre Apple et les Token Service Provider, et entre les TSP et les Emetteurs. Quels sont les Pour et les Contre d Apple Pay? Pour Pour le client Contre Authentification biométrique à chaque paiement Données carte protégées Secure Element TSP géré par le réseau carte NFC en paiement proximité 3D Secure en e-commerce Enregistrement simplifié Seulement sur iphone 6 et Apple Watch Enregistrement obligatoire NFC non disponible pour autres applications Pour Pour le commerçant Contre Pas d impact (si TPE NFC) NFC en paiement proximité 3D Secure en e-commerce Seulement sur iphone 6 et Apple Watch NFC non disponible pour autres applications * L avis des Experts EESTEL La sécurité d Apple Pay semble digne de confiance. Le système Apple Pay est le premier à offrir une authentification forte intégrée dans un mobile, même en e-commerce. Apple Pay va jouer un rôle d accélérateur pour le déploiement de NFC. Pour arriver en France, Apple devra négocier avec les schémas carte (CB, MC, Visa).

6 A propos d EESTEL EESTEL (Experts Européens en Systèmes de Transactions Electroniques) est une association qui regroupe des experts fonctionnels, techniques, et réglementaires des systèmes de transactions électroniques : paiement, services marchands, billettique, Identité électronique, santé, mobilité EESTEL offre l opportunité aux experts de partager leur experience et leur savoirfaire. EESTEL contribue à promouvoir et étoffer l'état de l'art en la matière à travers ses principes fondateurs : L excellence d'un réseau fédéré de spécialistes des systèmes de transactions électroniques, incluant les cartes à puce, les mobiles, les terminaux, les réseaux, la sécurité des transactions et des systèmes, et les systèmes permettant acquisition, émission et autorisation Un spectre étendu de métiers complémentaires : architecture de services, approche métier, technologies et architectures techniques, conduite de projets, tests, homologation, certification. L indépendance de ses membres actifs de tout groupe financier ou industriel EESTEL organise des ateliers techniques, des conférences, des formations et des publications. EESTEL a été créée en 1998, et compte aujourd hui 55 membres ce qui représente une expertise de plus de 1500 ans. dvhjdsklvfnhlbvdflbv Contact Presse Thibault Capitant communication@eestel.com Tel : Suivez-nous sur