Management et Productivité des TIC

Transcription

1 Module D02 Management et Productivité des TIC Paiement électronique et sécurisation des échanges 0 - Introduction 1 - Etat des lieux 2 - Plan technique, la sécurité transactionnelle 3 - Aspect juridique 4 - Confiance et archivage Téléchargement du chapitre Exercices QCM Bibliographie Gérard-Michel Cochard [email protected] Damaris Bassama [email protected] Lise Lefeuvre [email protected] Marlyse Thiermont

2 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur : Gérard-Michel Cochard 0 - Introduction Systèmes de paiement électronique Le paiement électronique est fortement contraint par les questions de sécurité que l'utilisation d'internet implique. La méthode actuelle universelle de paiement "à distance" est l'utilisation de la carte bancaire l'acheteur (payeur) communique au vendeur (payé) son nom, son numéro de carte et sa date d'expiration le vendeur communique ces informations à sa banque (à l'aide d'un boîtier TPE) qui crédite le compte du vendeur de la somme correspondante. la banque du vendeur sera remboursée ultérieurement par la banque de l'acheteur si l'acheteur ne s'y oppose pas entre temps. Le procédé paraît simple. Effectivement, il pose 5 difficultés l'acheteur doit faire confiance au vendeur qui pourrait compter une dépense supérieure à la dépense réelle. Signalons toutefois que l'acheteur a 90 jours pour manifester son désaccord et annuler l'achat. les informations relatives à la carte bancaire sont transmises en clair et il y a donc le risque d'interception par un pirate. le vendeur doit contracter un contrat VPC (vente par correspondance) auprès de sa banque ce qui permet le point 2 du processus. La banque perçoit une commission allant de 0,7 à 1,5% du montant de la transaction. la garantie du paiement n'est pas assurée ; on peut toutefois livrer que lorsque l'acheteur sera débité. les paiements de petites sommes (inférieures à 10 ) ne sont pas possibles car les banques ne les acceptent pas pour les paiements par carte bancaire.

3 Examinons comment on peut améliorer le système décrit plus haut. Cryptage Les navigateurs actuels (comme Netscape ou Internet Explorer) sont généralement dotés d'un logiciel de cryptage/décryptage appelé SSL (Secure Socket Layer). Bien entendu, côté vendeur, il faut interpréter les caractéristiques bancaires codées ce qui est effectué par les "serveurs marchands". On peut aussi utiliser des logiciels spécifiques de cryptage qui sont complémentaires au navigateur et qu'il faut évidemment charger sur son ordinateur (Kleline, Cybercash,...). On peut aussi utiliser des dispositifs hardware comme des lecteurs de carte associés à l'ordinateur. C'est certainement la meilleure solution car elle permet d'authentifier l'acheteur qui peut entrer son code secret le lecteur local opère la vérification. Malheureusement, ces périphériques sont à acheter car ils ne sont pas encore composants standards de l'ordinateur. Passage par un tiers spécialisé Le processus de paiement implique l'intervention d'un prestataire spécialisé dans la monétique. L'acheteur opère comme dans le cas standard choix d'un produit, saisie d'informations non confidentielles (nom, adresse,...), communication cryptée (SSL) des informations bancaires. Au niveau du vendeur, le site marchand est équipé d'un logiciel qui renvoie de manière transparente les informations bancaires cryptées vers le serveur de paiement du prestataire spécialisé qui vérifie ces informations, la validité de la carte, la solvabilité de l'acheteur, l'acceptation de la banque du vendeur et retourne, s'il n'y a pas de problème, une confirmation au site marchand. Celui-ci peut alors procéder à la livraison. Ce service de prestataire libère le vendeur des contraintes de vérification il y a externalisation du point 2 du processus standard. En France, deux sociétés offrent leurs service de "serveur de paiement" Sligos (système SIPS) et SG2 (système Payline). Bien entendu, ces prestataires se font rémunérer pour leurs services par la vente du logiciel à installer sur le site marchand et par une commission sur chaque transaction Le porte monnaie électronique Ce dispositif est prévu pour des achat d un montant maximal de 30 (micro-achats). Le principe est de stocker une somme d'argent dans un serveur bancaire (virtual wallet) ou dans une carte à puce (e purse). A chaque transaction, le montant est diminué du montant de la transaction. Plusieurs systèmes sont concurrents Mondex, Digicash, Kleline, Cybercash,... Normalisation Comme on peut le voir, il existe de nombreux systèmes qui, évidemment, ne sont pas tous compatibles. Il devient donc important d'imposer une normalisation à tous ces systèmes. C'est ce que proposent SET (Secure Electronic Transaction), e-comm ou C-Set. SET est le fruit de la collaboration de nombreuses sociétés MasterCard, Netscape, Visa, Microsoft, IBM,... et porte sur les cartes bancaires et la sécurisation des paiements. Les objectifs de SET sont

4 assurer l'authentification des détenteurs de cartes, des commerçants, des banques assurer la confidentialité des données de paiement préserver l'intégrité des données du paiement. Ces objectifs sont concrétisés par trois logiciels Portefeuille du porteur de carte (wallet), activé par le navigateur du poste acheteur Serveur de paiement commerçant, activé par le serveur Web du vendeur Serveur de paiement pour la banque acquéreur, activé pour les échanges entre le vendeur et la banque du vendeur et situé sur le serveur de la banque. La procédure SET consiste, pour l'acheteur, à se faire reconnaître comme un "bon payeur" par une "autorité certifiante" ou "tiers de confiance" qui lui délivre un certificat. Ce certificat est transmis, en cas d'achat, au vendeur qui peut, à son tour, se mettre en rapport avec l'autorité certifiante pour vérifier le certificat et assurer le paiement. C-SET, d'origine purement française et soutenu par les banques françaises et la Poste est compatible, par un système de traducteurs, avec SET. Il implique l'utilisation d'un lecteur de carte à puce chez l'acheteur. e-comm, développé par plusieurs banques françaises également, est un ensemble de spécifications pour combiner la carte à puce et SET. Enfin, Cyber-Comm est la conjonction de C-SET et de e-comm.

5 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 1. Etat des lieux Avec la généralisation d Internet, le commerce électronique est une réalité incontournable dont l ampleur ne cesse de s étendre. Le marché virtuel est en pleine explosion, et même si les problèmes de sécurité, de gestion, d adaptation, et d utilisation sont encore nombreux, ils tendent à être résolus ou contournés. Le commerce électronique s est développé et la question d un paiement électronique sécurisé s est posée, car les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier. Il a donc fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne, pour les particuliers et les professionnels. L enjeu du commerce électronique est donc de trouver des modes de paiements sûr et idéalement infaillibles, faciles d utilisation et acceptés du grand public permettant aux acheteurs de se sentir en sécurité. Un tel enjeu nécessite de sécuriser les transactions et de normaliser les sites d e-commerce mais aussi de protéger les informations délivrées par le client, en encadrant les modes de conservation et d archivage de ces informations et en protégeant les droits de chaque partie. Il existe de ce fait plusieurs moyens mis en œuvre que ce soit sur le plan technique, juridique, psychologique pour protéger les parties concernées par le paiement électronique. Nous présenterons dans ce document ces moyens en quatre parties. Dans la première partie nous allons établir un état des lieux des différentes méthodes de paiement électronique existantes, en indiquant leurs utilisations actuelles. Dans une seconde partie, nous préciserons les mécanismes de sécurité transactionnelle en expliquant notamment les concepts se rattachant à la cryptographie et aux protocoles. Nous aborderons dans une troisième partie les points juridiques qui protègent les acteurs du commerce électronique et qui codifient leurs relations. Puis nous terminerons par les autres mécanismes psychologiques qui pourraient inciter les internautes à acheter et qui sont basés sur la confiance. Le commerce électronique connaît actuellement une très forte croissance du à plusieurs raisons. Dans un premier temps, la démocratisation de l accès à Internet, l évolution des modes d achats des consommateurs ainsi que la facilité, la diversité et la rapidité des achats pour le client. De plus la réduction des coûts et la flexibilité qui arrange le marchand. Comme nous l avons dit en introduction, les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier, pour cela, il a fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne. Voici une liste non exhaustive des moyens de paiement, les plus utilisés, existant sur Internet Les méthodes de paiement

6 Il existe actuellement plusieurs modes de paiement électronique : Par courrier électronique, le client n'a plus besoin de communiquer avec l'entreprise par téléphone. En effet, après avoir fait parvenir par Internet sa commande, le client reçoit un numéro de facture. Il doit alors envoyer son numéro de carte de crédit ainsi que ce numéro de facture par le biais du courrier électronique. Cependant, l'envoie d'informations concernant une carte de crédit par courrier électronique n'est pas conseillé dû au risque d'interception. Le système Sympass, outil reposant sur le principe du double clavier : celui de l ordinateur et celui du téléphone. Lors d un achat en ligne, l internaute saisit uniquement les 8 premiers numéros de sa carte ainsi qu un numéro de téléphone. Il reçoit alors immédiatement un appel téléphonique d un service vocal lui demandant de saisir sur son clavier téléphonique les 8 derniers chiffres. Le porte-monnaie électronique : La Porte-Monnaie Electronique sur carte à puce : Monéo : Ce système repose sur la présence d un support physique, une carte à puce équipée d un microprocesseur pouvant être chargée avec une valeur monétaire permettant d effectuer des achats. Cependant il est nécessaire que l utilisateur dispose d un lecteur de carte relié à son ordinateur. Le Porte-Monnaie Electronique Prépayé : Paynova, qui offre à tout consommateur la possibilité d ouvrir un porte-monnaie virtuel pouvant être utilisé sur divers sites Internet. L utilisateur devra indiquer son nom et prénom ainsi qu une adresse courrier, pour créditer son compte par carte bancaire. Lors de l achat sur Internet, le consommateur choisira parmi les solutions de paiements proposés par le commerçant, l outil Paynova. Il devra alors se connecter sur son portemonnaie virtuel pour procéder au paiement. L intérêt pour le marchand est d avoir une garantie du paiement : l argent est disponible dans le porte-monnaie du client, et ce dernier est authentifié lors de la transaction. Le Porte-Monnaie Electronique Post-Payé : Click&Buy. L internaute lors de son inscription fournit une seule fois ses informations bancaires, consomme les contenus et services chez les marchands, puis est débitée une fois par mois du montant global de ses dépenses. Le Micro paiement : Les Kits de connexion ou Dialers sont des outils qui servent à rémunérer des contenus immatériels de faible montant (par exemple, une sonnerie, un logo, etc.) avec une livraison immédiate. Les règles déontologiques du CST (Conseil Supérieur de la Télématique) limitent le recours à ces outils aux cas de rémunération de contenus Internet. Pour les dialers, il existe deux catégories, ceux renvoyant vers un numéro surtaxé français (Auditel, Kiosque Micro, etc.) et ceux renvoyant vers des numéros internationaux. Les services vocaux à tarification majorée : il en existe deux types différents. Mode d obtention d un code par le truchement d un service vocal à tarification majorée, permettant à l utilisateur de pouvoir consulter le contenu numérique (par exemple pour consulter un modèle de lettre de motivation sur Internet). Le système Allopass, très connu, utilise ce type de service. Mode d obtention d un code en deux temps, en premier l internaute relève le site sur lequel il veut récupérer un code, par la suite il appelle un service à tarification majorée auquel il indique le code par le clavier téléphonique. (par exemple : Audiotel Décroché) Cela lui permettra d accéder à la partie réservée sur le site le temps de la communication avec le service(par exemple obtenir un code d accès à l espace de conception d une carte de voeux virtuelle). Les SMS + permet aux détenteurs d un téléphone mobile, soit de recevoir directement sur le mobile un contenu commandé par SMS surtaxé (par exemple logo, sonnerie, etc.), soit d obtenir, par retour SMS, un code permettant d accéder à un contenu sur Internet (comme pour Audiotel). Le Porte-Monnaie virtuel (PMV), par exemple MONEY TRONIC (système de paiement de la Caisse d Epargne) : c est un système qui s adapte plus au paiement en ligne que le porte-monnaie électronique car il ne nécessite pas de support physique. Il est chargé depuis sa carte de crédit et est rempli en fonction des besoins du client qui utilisera l argent virtuel qu il contient pour payer ses achats sur Internet. C est en fait un compte où on dépose de l argent, qui peut par la suite être dépensé sur les sites de commerce en ligne qui acceptent MONEY TRONIC.

7 La solution ID TRONIC, c est un système (mis en place par la Caisse d Epargne) qui permet à l internaute d acheter avec une carte bancaire sans en donner le numéro. Pour pouvoir bénéficier de ce service, l internaute client ou non de la Caisse d Epargne doit s inscrire (en ligne, par téléphone ou par courrier) en indiquant son RIB et ses coordonnées. Il doit également confier un numéro de téléphone portable. Par exemple, lors d un achat, l utilisateur rentre soit le code d accès fourni lors de son inscription, soit son adresse de courrier électronique. Un SMS lui est alors envoyé sur son téléphone mobile, lui indiquant un mot de passe à saisir sur l écran de paiement en ligne. Le paiement sera alors confirmé et l identité de l utilisateur authentifié. Par la suite le paiement est effectué entre le marchand et la banque. Les chèques électroniques, par exemple Financial Services Technology (FSTC) et Netchex. FSCT s apparente à la version papier, Le client disposerait ainsi d un livret de cheques électroniques qui serait délivré au travers d un site Web ou attaché au courrier électronique (avec signature électronique). Par contre Netchex fait intervenir un intermédiaire auprès duquel l utilisateur et le commerçant devront s enregistrer. Toutefois ce nouveau moyen de paiement est difficilement transposable en Europe dans la mesure ou l émission et l utilisation de chèques fait l objet d une réglementation très stricte en comparaison du système américain. La e-carte Bleue, ce système est une solution qui doit remédier aux problèmes de la transmission des informations bancaires nominatives sur le réseau (mondial). Ce procédé permet d associer des coordonnées bancaires temporaires (à usage unique) à un compte réel, qui seront transmises sur le réseau, en lieu et place des informations persistantes sur la carte bancaire. L avantage étant que même si les coordonnées bancaires temporaires sont interceptées, il n y aura aucun impact sur la sécurité du compte réel. Paypal est un système de paiement en ligne qui utilise les adresses pour identifier l expéditeur et le destinataire d un paiement et qui passe par le réseau international des cartes bancaires pour effectuer le paiement. Le paiement est initié depuis le compte Paypal de l acheteur et arrive sur le compte Paypal du vendeur. Ainsi aucun des deux partis n a besoin de communiquer avec l autre. Visa Direct permet aux utilisateurs d envoyer de l argent aux porteurs de carte Visa. Visa Direct a été lancé afin de faciliter les paiements transfrontières de faible montant entre les particuliers. Pour effectuer un virement, l expéditeur peut utiliser différents canaux (Internet, agence bancaire, banque à domicile). Plusieurs moyens de transferts sont possibles tels que l adresse de courrier électronique ou le numéro de compte du bénéficiaire. La somme virée est alors directement versée sur le compte courant du bénéficiaire. Le paiement à partir d outils physiques, certains acteurs français proposent aux consommateurs des produits de paiement en ligne reposant sur des supports physiques, par exemple sous forme de cartes prépayées. Trois acteurs proposent de telles solutions : Kertel (filiale de Iliad), EasyCode et Néosurf. Le principe est commun à l ensemble des solutions : l internaute acquiert dans un point de vente (les bureaux de Poste ou les débitants de tabac par exemple), une carte chargée d un montant prédéterminé. Sur cette carte figure un ou plusieurs codes que le consommateur devra indiquer lors de son achat en ligne. Le rétro-paiement : le «cash-back» permet à un internaute de gagner de l argent lors de ses achats. A chaque achat, une partie du montant payé lui est, en effet, reversé par virement ou chèque bancaire, voire mis à sa disposition pour acquérir biens et services sur des sites partenaires. Ce phénomène de «rétro-paiement» est en pleine expansion en France où trois acteurs cohabitent sur ce marché (EbuyClub, CashCash et CashStore.fr) L utilisation des différents modes de paiement L année 2004 a encore constitué une année de forte progression du commerce électronique. D après la FEVAD (Fédération des Entreprises de Vente A Distance) publié le 20 janvier 2005, les ventes en ligne ont augmenté de plus de 53% par rapport à l année précédente. L ACSEL (Association pour le Commerce Et les Services en Ligne), quant à elle, indiquait en février 2005 une hausse de 65% du chiffre d affaire du commerce électronique français pendant la même période, ce dernier ayant dépassé le seuil symbolique des 2 milliards d euros. Le panier moyen de l internaute se situe aujourd hui autour de 54 euros, celui-ci achetant de plus en plus régulièrement. Dans un tel contexte, la question du paiement sur l Internet est primordiale à la fois pour l acheteur et le vendeur. D une part, le consommateur a besoin d être rassuré face à l usage d outils informatique et technique qu il ne maîtrise pas forcément. D autre part, le professionnel a besoin de solutions de paiement efficaces, rapides et fiables permettant au consommateur de réaliser de la manière la plus fluide possible son acte d achat. Cette angoisse de l acheteur se reflète parfaitement dans les divers chiffres publiés. Ainsi selon une étude menée par le Credoc :

8 Fig. n 1 : Evolution de la sécurité du paiement sur Internet Néanmoins, une fois le pas franchi, le taux d usage des cartes de paiement est particulièrement important. Selon la FEVAD : Fig. n 2 : Répartition des méthodes de paiement sur Internet en 2005 Les Français sont de plus en plus nombreux à effectuer des achats sur internet. Ainsi 47% des internautes ont réalisé au moins un achat en ligne (39% en 2004), selon une étude de Médiamétrie/NetRatings et de la Fédération des entreprises de vente à distance. Plus en détail, voilà certaines indications sur la répartition de l utilisation de quelques modes de paiement sur Internet : Quelques chiffres Champ d application Avantages/inconvénients PAYPAL 86 millions d'utilisateurs à travers le monde Présence d un tiers

9 E-Carte Bleue transactions /semaine, 5000 porteurs / semaine Plus de utilisateurs 1,4 millions de transactions pour un montant total de 110 millions d euros Plus de marchands Acceptés par presque tous les marchands Taux de refus très bas Sympass 25 marchands français ou étrangers Plus de transactions /jour utilisateurs atteint en l espace de 20 mois nouveaux utilisateurs/ mois. 38% des utilisateurs y ont eu recours plus de deux fois au cours du trimestre, 20% plus de quatre fois ID TRONIC 2 millions d euros d achat et aucune fraude Un taux d usage 10 fois supérieur à celui de la e-carte Bleue ( transactions enregistrées par ID Tronic pour sites) Cette solution permet également d acheter par l ensemble des sites internationaux Met en oeuvre la solution 3D-Secure Micro-Paiement électronique ` Moneo Panova aux Etats-Unis, 1,6 milliards de dollars en 2003 et 1,8 milliards de dollars en 2004, soit une progression de 13,7% Les analystes estiment qu il représentera en 2007, 5,5 milliards de dollars aux USA et 2,37 milliards d euros en Europe soit une progression de plus de 40% par an (due principalement aux secteurs des jeux en ligne, de la musique ou de la vidéo à la demande) En ,2 millions de portemonnaie chargés points de paiement installés et paiements réalisés /semaine comptes et 500 cybermarchands en Europe 20 marchands français proposent cette solution de micro-paiement, pas forcément de manière exclusive Aujourd hui, le secteur du paiement de petites sommes, le micropaiement, est très diversifié : achat d articles de presse, de sonneries de portable, de logos permettant de personnaliser son téléphone, achat de morceaux musicaux sur les plates-formes payantes, de jeux en ligne, etc. S adresse principalement aux PME qui peuvent avoir des difficultés à convaincre les banques pour obtenir un contrat de «vente à distance» Intéresse les cybermarchands saisonniers (clubs, lobbying, associations), les spécialistes des «

10 Allo pass Plus de sites internent français ont recours à ces solutions de paiement et leur nombre ne cesse de progresser petits prix» (sonneries) Ces solutions séduisent plus les particuliers ou les petits éditeurs de site à la recherche d une solution de paiement facile à installer Néanmoins, cette forme de paiement en ligne demeure relativement marginale auprès des grandes enseignes au regard du commissionnement institué (prélèvement de 30% par l opérateur téléphonique) Bien que diversifiée, cette liste de paiements électroniques ne recense pas tous ceux existant actuellement. Il faut savoir que la diversité de ces moyens de paiement vient du besoin pour les marchands, de fournir des mécanismes de paiement simplifié et sécurisé. Ce sont ces mécanismes techniques que nous allons expliquer dans la partie suivante et qui fondent la sécurité des transactions commerciales.

11 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 2. Plan Technique : la sécurité transactionnelle L enjeu du commerce électronique est celui d'acquérir la confiance des consommateurs pour développer le marché. Mais la confiance en matière de transaction électronique transite principalement par la sécurité du mécanisme de paiement, or deux vulnérabilités méritent en particulier d être soulignées : La vérification de l identité des parties impliquées dans les transactions : L absence d identification forte et mutuelle créée des risques de fraudes importantes La protection de l ordinateur personnel des clients : celui-ci est, en général, peu protégé contre, par exemple, les tentatives externes de prise de contrôle de la machine, les attaques par des virus ou le chargement non sollicité ou non contrôlé de logiciels à partir de l Internet. Le manque de sécurité des instruments de paiement constitue un frein certain à la décision d achat sur Internet. C est la raison pour laquelle des protocoles de paiements sécurisés utilisant la cryptographie sont mis en place Les protocoles et procédés de paiement sécurisés Les principaux protocoles Les protocoles de sécurité établissent des mécanismes de communication qui garantissent la confidentialité des données. Ils existent plusieurs protocoles mais nous allons nous intéresser ici à deux protocoles particulièrement reconnus. Le protocole SSL (Secure Sockets Layers)

12 Consiste au cryptage des informations sensibles pour les rendre incompréhensibles de ceux qui ne disposent pas des éléments nécessaires pour les décrypter. Dans ce cas, lors d un paiement sécurisé les informations bancaires du client parviennent directement au marchand sous forme cryptées. Le protocole SET (Secure Electronic Transactions ) Utilise le protocole SSL avec en plus la particularité d identifier de manière précise le possesseur de la carte de crédit. De plus, ce protocole confie la gestion de la transaction entre le vendeur et l'acheteur à un intermédiaire (comme une banque par exemple). Ceci a l avantage d éviter au consommateur de communiquer au site marchand, son numéro de carte bancaire. Un mécanisme de paiement sécurisé confié à un tiers est apprécié également par le vendeur car ce procédé le dégage de toute responsabilité en cas de piratage de ces numéros, puisqu il n a accès à aucun moment aux données bancaire du client. Le protocole SSL via un organisme bancaire est un compromis entre les deux précédents : la gestion des paiements se fait via l Extranet proposé par la banque et l acheteur envoi ainsi directement ses informations bancaires sur le site de la banque du marchand. Le marchand ne voit jamais transiter les numéros de carte bancaire et informations associées. Ce en quoi il ressemble au protocole SET. Mais il lui reste toujours une faille par apport à ce dernier, c est que le marchand n a aucune garantie concernant l identité du client car l utilisation de certificats électroniques permettant d identifier aussi le client et pas seulement le marchand n est pas pris en compte par SSL. Nous allons dans la section suivante décrire les procédés techniques utilisés par ces protocoles, pour garantir et assurer la fiabilité des transactions. Les procédés permettant de garantir la sécurité transactionnelle lors des paiements électroniques doivent apporter quatre principales garanties aux utilisateurs (marchands comme clients) : L authentification : ce procédé permet d une part aux clients d être certains que les marchands à qui ils confient les renseignements sur leur carte de crédit sont réellement ce qu ils prétendent être. D autre part au marchand, de vérifier que le client est le vrai propriétaire de la carte de crédit. L intégrité des données : ce procédé permet de s assurer que le message n a pas été modifié par un tiers durant la transmission La non-répudiation : cette fonction empêche les clients ou les marchands de nier qu ils ont reçu ou émis un message donné. La confidentialité : cette fonction empêche les tiers de lire des messages interceptés. Toutes ces garanties ne peuvent être apportées que par la combinaison de plusieurs procédés. Concrètement, la confidentialité consiste en un cryptage/décryptage des données échangées par le navigateur de l'internaute et le serveur du marchand. Lorsque cette sécurité existe, le navigateur impliqué dans cette opération peut en informer l'internaute en affichant, le plus souvent, l'icône d'un cadenas fermé qui indique également la taille de la clé de cryptage [algorithme permettant de rendre une information intelligible] utilisée. Cette icône étant produite par le navigateur, il n'existe pas de faille connue permettant de la falsifier : elle est le reflet exact de la sécurité transactionnelle utilisée pendant l'échange des données de la page en cours. Il est donc possible à tout internaute de vérifier le niveau de sécurité d'un site simplement avec son navigateur. Mais à la cryptographie, se joignent d autres procédés permettant d identifier avec plus de précision

13 et de fiabilité les interlocuteurs c est la signature numérique et la certification. Nous étudierons donc dans cette partie la cryptographie qui est le socle de tous procédés de sécurité car elle est garante de la confidentialité mais aussi, la signature numérique et la certification qui la complète pour garantir les 3 autres critères d une transaction sécurisée La cryptographie Crypter une information revient à la rendre incompréhensible par ceux qui ne possèdent pas le procédé de décodage. C est un procédé mathématique à la base mais qui est utilisé en informatique sur les réseaux non sécurisés comme Internet, pour crypter les messages, afin qu'aucune personne autre que le destinataire ne puisse les lire. Le dialogue se passe alors ici entre les machines. Le décryptage qui est l opération inverse permet au destinataire du message de déchiffrer le message qui lui est destiné. Voici un schéma illustrant bien ce mécanisme : Fig. n 3 : Mécanisme de cryptage et décryptage Le processus de cryptage et de décryptage nécessite l utilisation de deux outils : Un algorithme de cryptographie ou un chiffrement qui est une fonction mathématique. Une clé (un mot, un nombre ou une phrase) qui associé à cet algorithme va crypter le texte ou le décrypter. Voici une illustration de ce concept : Fig. n 4 : Cryptage avec clé et algorithme

14 La notion de clé Une clé est en fait une valeur utilisée dans un algorithme de cryptographie, afin de générer un texte chiffré. Les clés sont en réalité des nombres extrêmement importants, concrètement c est une suite de bit(0 et 1) qui forme un nombre. La taille d'une clé se mesure en bits et plus la taille des clés est importante plus elle est sécurisée. Actuellement, la réglementation fixe la taille maximale des clés à 128 bits. Il faut noter qu en deçà de ce nombre une clé est considérée comme vulnérable car plus il y a de bits, plus le nombre est grand, plus la tâche du pirate sera longue : il devra tester, un par un, toutes les combinaisons possibles jusqu'à trouver le nombre qui décrypte le message protégé. L'opération n'est donc pas complexe : elle demande seulement du temps et de la puissance informatique. En effet, si pour casser une clé de 40 bits, il suffit de tester 240 combinaisons, soit quelques milliards de possibilités, pour casser une clé de 128 bits, c'est 2128 combinaisons qu'il s'agit de tester : Aucun cas de cassage d'une clé de 128 bits n'a été révélé et le challenge reste les clés de 64 bits pour les pirates. La sécurité des données cryptées repose donc entièrement sur deux éléments : L invulnérabilité de l'algorithme de cryptographie (algorithme difficile à retrouver) La confidentialité de la clé Une seule clé peut être utilisée pour crypter et décrypter. Dans ce cas le destinateur communique la clé aux destinataires pour qu il puisse décrypter son message. C est la cryptographe à clé privée ou à clé symétrique La cryptographie à clé privée ou symétrique Dans ce cas, la clé doit être gardée secrète car elle permet de crypter et décrypter le message. Si elle est interceptée, le système s écroule. Voici une illustration de son mécanisme : Fig. n 5 : Mécanisme de la cryptographie à clé privé Utilité et limites Le cryptage conventionnel à clé privé comporte des avantages car il est très rapide. De plus, il s'avère particulièrement utile pour les données véhiculées par des moyens de transmission sécurisés. En effet comme on le voit dans le paragraphe suivant, il peut entraîner des coûts importants en raison de la difficulté à garantir la confidentialité d'une clé de cryptage lors de la distribution notamment sur les réseaux insécurisés comme Internet.

15 La clé privée doit être distribuée de façon confidentielle à tous les destinataires des messages pour qu il puisse les décrypter. Cette contrainte soulève plusieurs problèmes : Les risques de détournement de cette clé lors de sa distribution au destinateur notamment dans le cas de milliers de navigateurs et d un serveur qui échange leurs clés sur le réseau Internet pour crypter et décrypter leurs dialogues. Pour assurer la confidentialité, chaque expéditeur devrait fournir une clé différente, à chaque destinataire avec lequel il entend communiquer. Autrement chaque destinataire potentiel serait capable de lire tous les messages, qu ils lui soient destinés ou non. Une autre limite du chiffrement avec une clé secrète est l incapacité de cette méthode d assurer la non-répudiation. Étant donné que les deux parties ont la même clé, l une d entre elles peut créer un message avec la clé secrète partagée et soutenir que le message a été émis par l autre partie. S il est utilisé seul, le chiffrement avec une clé secrète ne convient donc pas au commerce électronique c est la raison pour laquelle la cryptographie à clé publique, utilisé par les protocoles de paiement électronique a vu le jour Cryptographie à clé publique ou asymétrique La cryptographie à clé publique utilisée par les protocoles SSL et SET est un procédé asymétrique utilisant une paire de clés pour le système de cryptage, dont l une sert à chiffrer les messages et l autre à déchiffrer les messages ou vice-versa. Voici une illustration de ce mécanisme : Fig. n 6 : Mécanismes de cryptage à clé publique Règles de sécurité Les deux clés sont reliées par une fonction mathématique Lorsqu un message est chiffré par une clé il ne peut être déchiffré que par l autre clé Il est impossible de déduire la clé privée à partir de la clé publique Le Récepteur communique sa clé publique à l émetteur L émetteur chiffre le message avec la clé publique puis l envoi Le récepteur déchiffre le message avec sa clé privée Voici une illustration de ce mécanisme :

16 Fig. n 7 : Rôle des utilisateurs dans le mécanisme de cryptage à clé publique Utilités et limites La cryptographie de clé publique présente un avantage majeur car l'expéditeur et le destinataire n'ont plus besoin de partager des clés secrètes via une voie de transmission sécurisée. Les communications impliquent uniquement l'utilisation de clés publiques et plus aucune clé privée n'est transmise ou partagée. L utilisation de clés permet de sécuriser le dialogue et donc de garantir la confidentialité des données. Mais ceci ne suffit pas à rassurer les internautes, car l identité de ceux avec qui le dialogue est établi et l intégrité du message qui leur parvient sont des points tout aussi importants à protéger. Un prétendu récepteur peut par exemple détourner une clé privée et récupérer les informations d un message alors qu il n est pas le récepteur attendu par l émetteur. Il peut disposer du message comme il veut et porter atteinte à l intégrité du message, puis le renvoyer aux émetteurs qui possèdent les clés publiques. La confidentialité du message est bien garantie ici, mais l intégrité ne l est pas, ni l authentification. Deux procédés de sécurité supplémentaires sont donc mis en place afin de garantir l intégrité des données ainsi que l identification et l authentification des émetteurs et récepteurs : c est la signature numérique et la certification La signature numérique Une signature numérique a la même utilité qu'une signature manuscrite. Cependant, une signature manuscrite peut être facilement imitée, alors qu'une signature numérique est pratiquement infalsifiable. Utilité et principe La signature numérique confère trois des quatre fonctionnalités d un mécanisme de sécurité : L intégrité des informations c est à dire qu elle permet de s assurer que le message n a pas été modifié. L'identification du signataire car elle permet de faire le lien avec l auteur. La non répudiation, car l'expéditeur ne peut prétendre qu'il n'a pas envoyé les informations.

17 La signature numérique à elle seule ne garantit en aucun cas la confidentialité des données. C est la raison pour laquelle elle est combinée avec les systèmes de cryptographie lorsque les quatre fonctionnalités d un mécanisme de sécurité sont recherchées. Dans le cas de figure où la confidentialité n est pas un critère prépondérant elle peut d ailleurs être utilisée avec du texte en clair. Elle atteste juste que l entité avec qui on dialogue est bien celle à qui on s attend et que le message n a pas été récupéré et modifié. Principe de la signature numérique La signature numérique s obtient en 2 étapes : Lorsqu on applique au message en clair une fonction de hachage, on obtient un élément de longueur définie à l avance appelé résumé de message. En outre, toute modification apportée aux informations entraîne un résumé complètement différent. Ensuite le résumé et la clé privée sont associés pour créer la «signature». Le message et la signature sont transmis au récepteur. Le message peut-être crypté ou pas. Voici une illustration de ce mécanisme : Fig. n 8 : Génération d une signature numérique Pour vérifier la signature, c est-à-dire que le contenu du message est conforme au message attendu et

18 que l émetteur du message est bien celui qui nous a donné une clé publique, il suffit de réaliser l opération inverse. C est-à-dire d appliquer d une part la fonction de hachage au texte en clair luimême pour obtenir le «résumé du message» et d autre part d appliquer à la signature la clé publique correspondante pour obtenir également le «résumé du message». Si les deux condensés sont les mêmes, alors la signature correspond bien au message reçu. Voici une illustration du procédé de vérification : Fig. n 9 : Vérification d une signature numérique Si une fonction de hachage sécurisée est utilisée, il est impossible de récupérer la signature d'un document pour la joindre à un autre document ou d'altérer un message signé. La moindre modification apportée à un document signé entraîne l'échec du processus de vérification de la signature numérique. La signature numérique est souvent utilisée pour valider des documents tels que les certificats dont on parlera en détail plus loin. Dans ce cas le document est en clair et la signature numérique est opposée au bas du document avec une fonction de hachage permettant de retrouver le résumé du message fourni. En appliquant la clé publique à la signature d une part et la fonction de hachage au message en clair d autre part. On retrouve alors un résumé du message comparable à celui qui est fourni au bas du document. Si les deux résultats sont similaires («résumé du message») en tout point, on en conclut que le document provient bien de l émetteur dont on a la clé publique. Cependant la signature numérique a ses limites car rien n atteste que celui qui nous donne la clé publique n a pas détourné la clé privé correspondante et se fait passer pour quelqu un qu il n est pas afin de soutirer des informations. En réalité, la seule façon de garantir que la clé publique obtenue est celle du destinataire qu on attend c est d accepter uniquement les clés distribuées physiquement, car l identité de l émetteur serait vérifiée. Mais dans la réalité d Internet où le dialogue se fait avec des milliers de serveurs, ce procédé est inapplicable mais un autre mécanisme similaire allant dans le même sens est utilisé : c est la certification qui va permettre de confirmer qu une clé appartient réellement à l interlocuteur qui la distribue La certification Utilité et principe Le certificat à la fonction qu un passeport aurait dans le monde matériel car il comporte des

19 informations qui identifie l auteur d une clé et déclare qu une autre personne a confirmé cette identité. Il a une valeur juridique même s il se sert de la cryptographie (signature numérique). Il contient des informations (associées à la clé publique d'une personne), aidant d'autres personnes à vérifier qu'une clé est authentique ou valide. Il permet de contrecarrer les tentatives de substitution de la clé d'une personne par une autre. Renforcer l authentification en utilisant des certificats numériques, entraîne d avoir recours à un tiers de confiance ou à une société d authentification (SA) Le principe de la certification par un tiers Ce mécanisme nécessite d avoir recours à un tiers de confiance ou à une société d authentification (SA). Les détenteurs de clés publiques les soumettent à une SA accompagné d une preuve d identité, et la SA appose sa signature numérique certifiant ainsi que la clé publique jointe au certificat appartient à la partie stipulée. Les certificats numériques constituent un des fondements des opérations électroniques protégées puisqu ils permettent à toutes les parties d une transaction de vérifier facilement et rapidement l identité des autres participants. Il faut savoir que les sociétés de certification sont une entité humaine (une personne, un groupe, un service, une entreprise ou une autre association) autorisée par une société à émettre des certificats à l'attention de ses utilisateurs informatiques. Une SA fonctionne comme un service de contrôle des passeports du gouvernement d'un pays. Elle crée des certificats et les signe de façon numérique à l'aide d'une clé privée de SA. A l'aide de la clé publique de la SA, quiconque souhaite vérifier l'authenticité d'un certificat doit vérifier la signature numérique de la SA émettrice et, par conséquent, l'intégrité du contenu du certificat (essentiellement, la clé publique et l'identité du détenteur du Certificat) Un certificat numérique peut se présenter sous différents formats et contenir plusieurs informations Les informations minimales d un certificat La clé publique du détenteur du certificat Les informations du détenteur du certificat : il s'agit des informations portant sur l' «identité» de l'utilisateur, telles que son nom, son ID utilisateur, sa photographie, etc. La signature numérique, dont on a parlé précédemment du détenteur du certificat, également appelée auto-signature. La période de validité du certificat : dates/heures de début et d'expiration du certificat. L'algorithme de cryptage symétrique préféré pour la clé : indique le type d'algorithme de cryptage que le détenteur du certificat préfère appliquer au cryptage des informations. Ces informations peuvent varier selon la norme des certificats utilisés, notamment certains certificats autorisent plusieurs personnes à valider le même certificat Le concept de signatures multiples

20 Certains certificats permettent à plusieurs personnes de signer une paire de clés/d'identification pour attester en toute certitude de l'appartenance de la clé publique au détenteur spécifié. Certains certificats sont également composés d'une clé publique avec plusieurs libellés, chacun offrant la possibilité d'identifier le détenteur de la clé différemment (par exemple, le nom et le compte de messagerie d'entreprise du détenteur, l'alias et le compte de messagerie personnel du détenteur, sa photographie, et ce, dans un seul certificat). La liste des signatures de chacune de ces identités peut varier. Les signatures attestent de l'authenticité de l'appartenance de l'un des libellés à la clé publique et non de l'authenticité de tous les libellés sur la clé. Différentes personnes vérifient à différents niveaux l'authenticité avant de signer une clé Le mécanisme de distribution de certificats Au-delà d'une certaine charge de communication, il est nécessaire de mettre en place des systèmes pouvant fournir des mécanismes de sécurité, de stockage et d'échanges de clés nécessaires pour communiquer. Car il est facile pour un petit groupe de s échanger des clés par émail, mais lorsqu il s agit de milliers de clients et serveurs, la mise en place de systèmes de gestion de certificats est nécessaire. Ces systèmes peuvent se présenter sous la forme de référentiels de stockage uniquement, appelés serveurs de certificats ou sous la forme de systèmes structurés offrant des fonctions de gestion de clés, appelés infrastructures de clé publique (PKI). Le rôle d une PKI n est pas simplement le stockage. Elle permet de gérer l émission, la révocation (annulation avant échéance d un certificat), le stockage, la récupération et la fiabilité d un certificat. Un serveur de certificats, également appelé serveur de clés, est une base de données permettant aux utilisateurs de soumettre et de récupérer des certificats numériques. Un serveur de certificats offre généralement des fonctions de gestion permettant à une entreprise de soutenir sa politique de sécurité (par exemple, autoriser uniquement le stockage des clés répondant à des exigences spécifiques). Nous verrons dans la section suivante de quelles façons les procédés ci-dessus sont combinés pour élaborer des solutions de paiement électronique Etude de quelques solutions de paiement sécurisées Dans le système traditionnel du paiement par carte, chacun des éléments suivant à une fonction spécifique : Le numéro facial permet d identifier la carte et de vérifier son existence. Il n est pas confidentiel. Le code confidentiel permet de garantir que le titulaire a exprimé son adhésion au principe et aux modalités du paiement. La puce, par la mise en œuvre d algorithmes de chiffrement, permet de garantir la sécurité du processus de paiement. Dans l hypothèse d un paiement par l Internet fondé sur la seule communication du numéro facial, du nom du titulaire et de la date d expiration, l opération de paiement offre un degré de sécurité nettement moindre. Contrairement au paiement par code confidentiel, rien ne permet de considérer que le titulaire a exprimé son adhésion à l opération de paiement. Pour répondre à ce problème

21 plusieurs solutions ont été mises en œuvre : Les protocoles nécessitant une authentification forte par les certificats et les signatures numériques L intervention d un tiers (au moins) pour des éléments de preuve, à qui sont transmises les données confidentielles pour qu ils fassent le paiement L utilisation d une carte bleue dont le numéro de compte virtuel est utilisable une seule fois avec un plafond défini. Nous allons étudier dans la partie suivante comment ces solutions sont mises en œuvre. Nous commencerons par étudier le mécanisme de paiement grâce à l unique utilisation des protocoles SSL et SET Paiement par carte bleu avec les protocoles SSL et SET Les protocoles de communication SET et SSL Internet utilisent conjointement les 2 modes de cryptographie comme l illustre la figure 2. Ils se servent d une clé publique et d une clé privée. La clé publique sert à garder secrète la clé privée et la clé privée sert à déchiffrer les messages. La clé privée n est générée qu une seule fois par le client qui se connecte à un serveur. Ce client transmet cette clé privée en la cryptant par le mécanisme de clé privée/public. Fig. n 2 : utilisation conjointe de clé privé/public par SSL Lorsque le serveur reçoit le message, il le décrypte grâce à la clé publique et il y découvre la clé privée avec laquelle le dialogue va être chiffré durant toute la communication. Cette clé privée est appelée clé de session car elle n est utilisée qu une seule fois. Cette association des deux méthodes est née du désir d exploiter les avantages de chacune. Car si le système clé publique/clé privée s accorde mieux avec les problèmes que posent Internet (canal non sécurisé), il est lent et nécessite beaucoup de temps. Tandis que la cryptographie symétrique est très rapide. Nous allons donc voir dans le détail comment chacun des deux protocoles met en œuvre la communication.

22 La transaction avec le protocole SSL La transaction (= la vente) comprend la prise de commande, la saisie sécurisée du moyen de paiement, le déclenchement du paiement, et la réception du reçu électronique. La sécurisation du paiement se fait donc au cours de la transaction. SSL est un protocole mis au point par Netscape dans les années 1990, visant à assurer la sécurité (confidentialité, intégrité) des échanges entre 2 applications Principe : Consiste à établir un canal de communication sécurisé (chiffré) entre deux machines (client et serveur) après une étape d'authentification (du serveur). Une connexion SSL doit être initiée par le client (normalement un navigateur du Web) qui demande qu on lui envoie un document au moyen du protocole HTTPS [HyperText Transfer Protocol Secure] plutôt qu en utilisant le protocole normal HTTP [HyperText Transfer Protocol]. Repose sur la cryptographie à clé publique pour garantir la sécurité des transmissions (échange de clés privées) et sur la cryptographie à clé privée pour crypter les messages. Indépendant du protocole utilisé au niveau applicatif, permettant de sécuriser les mails POP3/ SMTP, http, etc.. La sécurisation des transactions par SSL2.0 est basée sur un échange de clés entre client et serveur comme décrit ci-dessous. Résumé du fonctionnement : Dans un premier temps, le client se connecte au site marchand sécurisé par SSL et lui demande de s'authentifier. Le client envoie également la liste des différents algorithmes cryptographiques qu'il supporte, triée par ordre décroissant selon la longueur des clés. Le serveur, à la réception de la requête, envoie un certificat au client, contenant la clé publique du serveur, signée par une autorité de certification (CA), ainsi que le nom du crypto système le plus haut dans la liste avec lequel il est compatible (la longueur de la clé de chiffrement - 40 bits ou 128 bits - sera celle du crypto système commun ayant la plus grande taille de clé). Le client vérifie la validité du certificat (donc l'authenticité du marchand), puis crée une clé secrète aléatoire (plus exactement un bloc prétendument aléatoire), chiffre cette clé à l'aide de la clé publique du serveur, puis lui envoi le résultat (la clé de session). Le serveur et lui seul est en mesure de déchiffrer la clé de session avec sa clé Limites du protocole SSL : Permet d authentifier le serveur Web du marchand et pas le marchand lui-même. Ne permet pas d authentifier le porteur de la carte de crédit. Les données de paiement peuvent être transmises directement au marchand. C est la raison pour laquelle la solution qui confie la gestion de la transaction à un tiers a été imaginée avec le protocole SET La transaction avec le protocole SET

23 Cette transaction est basée sur SSL, à la différence que le protocole SET permet également au marchand de demander l authentification de l utilisateur au moyen de certificats numériques. Ainsi, il est plus difficile d utiliser une carte de crédit volée avec SET. Le protocole SET comporte également l avantage, de ne pas donner aux marchands l accès aux numéros de cartes de crédit des clients, éliminant ainsi une autre source de fraude. Principe de la transaction SET : Elle permet l'échange sécurisé de numéros de cartes de crédit via Internet. Supporté à l'origine par MasterCard, Visa et d'autres industriels, elle permet d'assurer la sécurité des transactions financières : Chaque utilisateur et marchand se voit doté d'un certificat numérique l'identifiant de manière unique sur Internet SET permet d'identifier clairement et sûrement l'émetteur du paiement, à la différence de SSL qui n'identifie que des applications SET utilise donc le protocole SSL seulement pour le chiffrement des données bancaires Il inclut deux types d informations privées dans une seule transaction signée numériquement : L information destinée à la banque est chiffrée à l aide de la clé publique de la banque alors que l information destinée au marchand est chiffrée à l aide de la clé publique du marchand. Ainsi, le marchand n a pas accès aux détails de la carte de crédit du client. En plus de ce chiffrement, les deux ensembles d informations sont signés numériquement. Enfin, les deux signatures sont combinées pour produire une seule signature qui ratifie l ensemble de la transaction. Résumé du fonctionnement : Le client doit ouvrir un compte bancaire MasterCard ou Visa dans une banque. Le client reçoit un certificat numérique qui inclut une clé publique et une date d expiration associée. Le marchand reçoit les certificats de la part de la banque. Ceux-ci incluent la clé publique du marchand et celle de la banque. Le client passe commande sur une page Web, par téléphone ou un autre moyen. Le navigateur Web du client confirme que le marchand est le bon à partir du certificat du marchand signé par la banque. Le navigateur envoie les informations de commande. Cette requête est chiffrée avec la clé publique du marchand, les informations concernant le paiement sont chiffrées avec la clé publique de la banque (qui ne peut pas être lue par le marchand) de manière à assurer que le paiement ne peut être utilisé que pour cette commande. Le marchand vérifie l identité du client en analysant son certificat électronique. Ceci peut être fait en demandant vérification de l identité auprès de la banque ou d un tiers de confiance. Le marchand envoie la notification de commande à la banque. Ceci inclue la clé publique de la banque, les informations de paiement du client (que le marchand ne peut pas déchiffrer) et le certificat du marchand. La banque vérifie l identité du marchand et de la transaction. Elle utilise la signature numérique du certificat et vérifie la partie paiement du message. La banque signe numériquement l autorisation et l envoie au marchand, qui peut désormais traiter la commande ainsi validée. Limites de la transaction avec SET :

24 Bien que le protocole SET ait un potentiel énorme, il n est pas encore très utilisé. Cette lenteur s explique surtout par l acceptation généralisée du SSL ainsi que par : La complexité et le coût du système SET. Le Déploiement du SET : une transaction SET typique comporte l échange de renseignements privés entre un client et un marchand (comme les articles commandés), et un autre échange d information privée entre le client et la banque (comme le numéro de carte de Crédit du client). La non-disponibilité à large échelle (navigateur). L investissement : certification, matériel et logiciel (client, marchand et passerelle de paiement). En définitive, SET est fait pour assurer le paiement par carte bancaire sur Internet avec les 4 garanties qu un système de sécurité peut fournir tandis que SSL est plus général et il s applique à toute transaction (financière ou pas) qui nécessite un minimum de sécurité. Elle assure la confidentialité mais elle ne garantit pas toujours l authentification du client qui se prétend propriétaire d une carte de crédit. Ces moyens ayant tous des limites, il a fallu imaginer d autres solutions pour permettre de contrecarrer les limites de ces protocoles Les moyens de paiement par prépaiement : La e-carte bleu. Pour effectuer un paiement avec l utilisation de la carte bleu, Le client saisie et envoie ses coordonnées bancaires en SSL en général. Cependant, le principal problème dans ce cas est l interception des données. En effet, même s il est très difficile avec l utilisation du protocole SSL d intercepter des données sans en être le destinataire, cela reste possible dans certaines conditions, notamment si l utilisateur ne vérifie pas avec attention le certificat fourni par le site de la banque lors de la transaction SSL. C est ainsi qu un individu peut fabriquer une copie quasi identique du site d une grande banque et manipuler l utilisateur ou le site marchand pour rediriger la requête originale vers ce site au lieu de l authentique, en utilisant SSL. Le seul moyen viable dans ce cas pour s assurer de l authenticité du site visité est de vérifier la validité du certificat SSL, signé par un tiers de confiance. Cependant, de nombreux utilisateurs n ont pas les connaissances nécessaires pour l effectuer correctement ; la plupart ne savent d ailleurs même pas comment cette étape fonctionne. Malgré la sécurité octroyée par les protocoles de paiement, ils subsistent des limites, la principale étant l impossibilité de garantir que les informations transmises ne seront pas interceptées. C est la raison pour laquelle d autres moyens de paiement ont été imaginés. Ces moyens utilisent en plus des protocoles d autres procédés complémentaires tels que l utilisation d un tiers de confiance ou de multiples canaux simultanément (téléphone, , fax, courrier postal, carte bancaire virtuelle). Malgré tous les procédés utilisés afin d assurer la confidentialité, l authenticité et l intégrité des données transmises par Internet, les procédures de sécurité devraient faire partie des usages des internautes et des entreprises. En effet, une des plus grandes portes d entrée pour le piratage ne se situe pas dans le transfert des renseignements, mais bien dans la sécurité protégeant l accès aux serveurs internes des entreprises, où tous les renseignements personnels et les numéros des cartes de crédit sont conservés. Les failles ne sont donc pas souvent technologiques, mais peut-être humaines. C est pour cette raison que nous allons voir de quelles façons les protections juridiques constituent une sécurité supplémentaire pour les paiements électroniques.

25

26 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 3. Aspect Juridique Dans un contexte où la relation de face à face physique n existe pas, mais où pourtant les transactions financières sont quand même établies, il s est avéré très important de codifier les relations et de protéger les parties concernés. C est la raison pour laquelle au cours des dernières années les textes juridiques concernant le commerce électronique se sont enrichi de nouveaux règlements Pourtant, le recours à une solution de paiement sécurisé, ne fait pas disparaître tous les problèmes pour le commerçant mais les minimisent simplement. En cas de fraude, le commerçant sur Internet ne bénéficie pas en effet de la même protection que son client comme nous l expliquons dans la section qui suit La situation du client Le texte applicable en la matière est la loi sur la sécurité quotidienne (art.34 à 44). En cas d utilisation frauduleuse de sa carte, le client ne peut voir sa responsabilité engagée que dans des hypothèses limitées Principe : le client n'est pas responsable Dans toutes les autres hypothèses, le client ne supportera au maximum que 150 Euros pour toutes les dépenses intervenues frauduleusement avant son opposition. Pour toutes les opérations intervenues après son opposition, il sera dégagé de toute responsabilité. Le texte prévoit en plus deux cas où sa responsabilité est expressément exclue :

27 Quand sa carte a été contrefaite et que, lors de l opération contestée, le client était en possession physique de sa carte. Quand le paiement contesté a été effectué frauduleusement, à distance et sans utilisation physique de la carte (paiement effectué par la simple fourniture du numéro de votre carte bleue et de sa date d expiration). Dans ces deux cas, le client victime de la fraude pourra contester, par écrit, avoir effectué un paiement ou un retrait. L émetteur de la carte devra alors re créditer le compte du client du montant des sommes contestées. A défaut, il devra lui restituer ces sommes, sans frais, au plus tard dans le délai d un mois à compter de la réception de la contestation du client. Le délai de contestation appartenant au client est obligatoirement compris entre 70 et 120 jours à compter de la date de l opération contestée. On peut enfin remarquer que, dans tous les cas, l émetteur de la carte rembourse à son titulaire la totalité des frais bancaires que ce-dernier aura supporté Exception : deux hypothèses de responsabilité En cas de perte ou de vol de sa carte, le client ne verra sa responsabilité engagée que dans deux hypothèses : Quand il aura commis une négligence, par exemple, en laissant son code confidentiel dans la pochette qui contenait sa carte ; Quand il n aura pas fait opposition dans les meilleurs délais (ce délai est fixé par le contrat conclu entre le client et sa banque mais ne peut pas être inférieur à 2 jours francs). Dans ces deux cas, le client supportera la perte ou le vol de sa carte sans limite financière alors qu en principe, il ne doit supporter qu une somme maximum de 150 Euros (plafond en vigueur au 01/01/2003). Article 30 : Sous réserve des dispositions de l article 25 de la présente loi, le consommateur peut se rétracter dans un délai de 10 jours ouvrables, courants : - à compter de la date de leur réception par le consommateur, pour les marchandises,- à compter de la date de conclusion du contrat, pour les services. La notification de la rétractation se fait par tout moyen prévu préalablement dans le contrat. Dans ce cas, le vendeur est tenu de rembourser le montant payé au consommateur dans les 10 jours ouvrables à compter de la date de retour des marchandises ou la renonciation au service. Le consommateur supporte les frais de retour des marchandises.

28 3.2. La situation du commerçant Nous sommes dans l hypothèse où le commerçant a été payé au moyen d une carte volée ou d une carte falsifiée. Le commerçant se trouve alors dans une situation délicate. Comme nous l avons dit plus haut, la plupart du temps, le titulaire de la carte de paiement pourra obtenir de l émetteur (la banque) de sa carte qu il crédite son compte. Symétriquement, les sommes qui ont été initialement créditées seront ensuite débitées au commerçant. Que peut exiger le commerçant de l intermédiaire financier qui a offert une solution de paiement sécurisé? Rien de moins, et surtout rien de plus, que ce qui figure dans le contrat. Le plus souvent, ces dispositions ne seront pas favorables au commerçant et ce sera lui qui supportera seule les risques d un paiement frauduleux. Il semble donc à la vue des textes actuels que la seule issue soit un recours contre le fraudeur. Le problème est alors d'obtenir les preuves : il faut pouvoir d identifier clairement le fraudeur, il sera alors possible d obtenir la condamnation de ce dernier au paiement des sommes litigieuses ou au moins à la restitution des marchandises vendues si elles n ont pas été revendues d ici-là. Techniquement, une telle identification paraît difficile : l adresse de livraison des produits sera généralement une fausse adresse. Article 29 : Le vendeur doit fournir au consommateur, à sa demande, et dans les 10 jours suivant la conclusion du contrat un document écrit ou électronique contenant l ensemble des données relatives à l opération de vente. Finalement, l expression de «paiement sécurisé» doit être comprise différemment selon que l on est commerçant ou client. Les clients jouissent d une protection efficace et, de ce point de vue, le législateur semble en passe d atteindre son objectif : développer la confiance des consommateurs dans le commerce électronique. Mais les commerçants en ligne, eux, n auront pour toute protection, que celle accordée par le contrat qu ils auront conclu avec leur intermédiaire financier ; A côté de la protection des acteurs du commerce électronique, les textes juridiques permettent également de codifier les relations et les transactions entre clients et internautes en mentionnant des règles souvent implicites Les caractéristiques légales Les caractéristiques d'ordre légal du paiement électronique sont diverses. Elles sont regroupées sous trois catégories, soit les caractéristiques de sécurité, les caractéristiques de confidentialité

29 et finalement les modalités du paiement électronique L'aspect sécuritaire La question de sécurité est celle à laquelle les internautes sont les plus sensibles. La Sécurité sur Internet semble illusoire puisque la caractéristique principale du réseau est qu'il s'agisse d'un réseau ouvert. C'est pourquoi la sécurité sur Internet réfère automatiquement au cryptage des données. Seulement aucun système de cryptographie n est inviolable. En effet, il est important de garder à l'esprit qu'aucun système d'encryptage n'est infaillible. Tout comme des documents de papiers peuvent être forgés ou de la monnaie contrefaite, un système cryptographique pourra être percé. Le degré de sécurité ou de fiabilité du système de paiement électronique n'affecte pas la légalité de celui-ci comme tel. Néanmoins, les lacunes sur le plan de la sécurité font en sorte que le paiement pourra être facilement contesté par l'une ou l'autre des parties. Ainsi, le mécanisme de paiement doit d'abord être en mesure de garantir l'existence des intervenants, soit celle du débiteur, du créancier et des intermédiaires s'il y a lieu. Celle-ci présuppose la collaboration d'autorité de certification. L'identification des intervenants est donc très importante. Le vendeur et le client ont intérêt à vérifier la qualité de l'autre partie, surtout lors d utilisation de signature électronique. Cette identification pourra être effectuée au moyen des clés privées de cryptage. Les normes de cryptage utilisées lors des échanges prendront également une importance considérable. Par ailleurs, en matière électronique, toutes ces étapes se réalisent dans un délai très court. Ainsi, le paiement électronique prend une dimension toute particulière sur le réseau Internet puisqu'il jouera fréquemment le rôle de consentement à l'acte juridique. De là l'importance toute particulière de s'assurer de l'identité des parties. La pratique du règlement d'achat par simple communication du numéro des cartes bancaires et de la limite de validité permet des paiements frauduleux, le fraudeur pouvant trouver le numéro sur une facturette ou un ticket abandonné de guichet automatique bancaire. Cette pratique est sanctionnée potentiellement par le délit d'escroquerie (art du Code pénal). En l'absence d'un code confidentiel ou d'une signature, conformément à la directive européenne n 97/7/CE du 20 mai 1997 concernant la protection des consommateurs dans les ventes à distance, des clauses spécifiques sont prévues dans le contrat liant les entreprises de vente par correspondance et leurs banques (v. Rép. Min. Ec, 18 octobre 1993). Les sites marchands doivent assurer l'entière responsabilité des conséquences dommageables directes ou indirectes de tout débit erroné donnant lieu à contestation et ce sans limitation de durée. Le risque de fraude pèse donc sur les sites marchands et non sur les titulaires de cartes bancaires, à condition que ceux-ci vérifient soigneusement leur relevés de débit. Par ailleurs, selon le moyen de paiement utilisé, le mécanisme devra être en mesure de garantir l'authenticité de l'argent. En effet, peu importe le mode de paiement utilisé, celui-ci doit pouvoir

30 garantir au créancier la valeur du bien qui lui est transmis en paiement. L'authentification de l'argent, autrement dit l authentification du possesseur de l argent est un problème qui prend une dimension particulière en matière de paiement électronique. Par la suite, le mécanisme devrait être également en mesure de garantir l'authentification et l'intégrité du paiement lui-même. Une telle mesure pourra être effectuée encore une fois par le cryptage. La garantie d'intégrité est un des aspects les plus importants en matière de sécurité. Le message transmis ne devra en aucun cas être susceptible d'avoir été modifié ou altéré après son émission, que ce soit par un tiers ou une des parties à la transaction. Cette dernière question d'authentification du paiement et d'intégrité du message vise essentiellement à assurer la stabilité des transactions étant effectuées sur le réseau Internet en empêchant la répudiation de celles-ci. En fait, les quatre éléments recherchés sont, la confidentialité, l authentification des parties, le non-répudiation et l intégrité des données. C est de ça que découlent confiance et fiabilité qui ne sont eux-mêmes que des éléments subjectifs. La question de sécurité du mécanisme de paiement rendue possible grâce à la cryptographie touche de près la préoccupation de la protection des renseignements personnels L'aspect confidentialité Au niveau de la confidentialité, rappelons qu il y a le droit à la vie privée. Notamment, on retrouve des dispositions à cet effet dans le Code civil du Québec ainsi que dans la Charte québécoise. Or, le paiement est un acte qui implique habituellement la communication de renseignements divers. Cette récupération d'information permet la constitution de dossiers. Plusieurs commerçants ou autres organismes convoitent d'ailleurs ce genre d'information pour créer des registres et établir des profils de consommateur. Ces renseignements cadrent précisément dans la notion de renseignement personnel. A ce niveau, rappelons que la Loi sur la protection des renseignements personnels dans le secteur privé définit le renseignement personnel comme suit : Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet de l'identifier En conséquence, les règles visant la protection des renseignements personnels et du respect de la vie privée trouvent leur pleine application. À ce niveau, le principe de base est énoncé à l'article 37 du Code civil du Québec qui stipule :

31 Toute personne qui constitue un dossier sur une autre doit avoir un intérêt sérieux et légitime à le faire. Elle ne peut recueillir que les renseignements pertinents à l'objet déclaré du dossier et elle ne peut, sans le consentement de l'intéressé ou l'autorisation de la loi, les communiquer à des tiers ou les utiliser à des fins incompatibles avec celles de sa constitution ; elle ne peut non plus, dans la constitution ou l'utilisation du dossier, porter autrement atteinte à la vie privée de l'intéressé ni à sa réputation. Les lois et projets de lois sur la protection des renseignements personnels ont en commun de tenter de réglementer les renseignements personnels sous trois chapitres, en l'occurrence la cueillette des renseignements, l'utilisation des renseignements et la conservation de ceux-ci. L'entrée en vigueur de la Loi sur la protection des renseignements personnels dans le secteur privé a eu un effet bénéfique sur la protection de la vie privée des individus. En revanche, lorsqu'on parle du réseau Internet, le problème prend immédiatement une dimension internationale. La première constatation est alors le problème de sanction. Or, il est bien connu que ce problème de sanction peut rendre une loi stérile. La protection doit viser tant l'anonymat du consommateur que ses renseignements bancaires. Si la confidentialité des renseignements bancaires semble une évidence pour tous, il en va très différemment de la question de l'anonymat du consommateur. À ce niveau se confrontent les positions des autorités qui désirent prohiber l'anonymat complet des transactions sur Internet en vue d'empêcher la prolifération de la criminalité sous forme de blanchiment d'argent. De l'autre côté, les tenants de l'anonymat défendent farouchement le droit des individus à la protection de leur vie privée Les modalités du paiement électronique Les modalités du paiement électronique sont les mêmes que celles du paiement traditionnel, adaptées au contexte du réseau Internet. En ce qui a trait à l'identité du payeur, l'intermédiation ne pose aucun problème puisqu'un tiers peut effectuer le paiement au créancier au nom du débiteur. Le destinataire demeure cependant le créancier ou son mandataire. Quant au lieu de paiement, il est désigné expressément ou implicitement par les parties. Dans le cas de transaction sur le réseau Internet, nous sommes d'avis qu'il est implicitement convenu que le lieu du paiement se situe à l'adresse indiquée par le commerçant. Ainsi, le paiement sur Internet serait implicitement portable. Les frais de paiement seront toujours supportés par le débiteur. Or, d'importants frais peuvent survenir lorsqu'un intermédiaire surgit entre le débiteur et le créancier pour compléter la transaction. Qu'on se situe dans le domaine électronique ou traditionnel, le débiteur conserve toujours son droit d'obtenir une quittance lorsqu'il effectue son paiement. Au niveau pratique, la quittance prend habituellement la forme d'un simple reçu. Néanmoins, en matière de transaction électronique, le reçu ou la quittance est fréquemment mis de côté. Légalement, les mécanismes de paiement devraient prévoir l'envoi d'un reçu par courrier électronique confirmant la transaction et contenant

32 une description du bien ou du service acheté ainsi que le prix payé par le consommateur. Finalement, le consommateur recherche, que ce soit en matière de transaction électronique ou traditionnelle, d'abord et avant tout un paiement libératoire. En fait, pour pouvoir obtenir un paiement libératoire (non contraignant pour le consommateur) sur Internet, le consommateur devra utiliser certains modes de paiement traditionnels, comme le paiement par carte de crédit ou le virement de fonds pour être libéré de son obligation. La protection juridique est donc un moyen de rassurer les clients qui pourraient être freinés par le niveau d insécurité transactionnelle jugé élevé. Mais cette protection ne suffit pas toujours à inciter l achat en ligne. Des moyens supplémentaires sont donc mis en œuvre non seulement pour rassurer le client par un ensemble de procédés psychologiques mais aussi par des procédés assurant l archivage.

33 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 4. Confiance et Archivage Bien que certains sites marchands utilisent des moyens techniques pour sécuriser leurs sites, le client n est pas en mesure de le contrôler, en tant que néophyte sur les technologies d Internet. Dans une première partie, nous allons définir quels sont les moyens techniques et organisationnels que le marchand devrait mettre en place sur son site pour rassurer le client. En effet, généralement dans la conception du site, le chef de projet ne se soucie pas de la psychologie du client. De même nous ferons par la suite un point sur l archivage des données personnelles ou transactionnelles. Nous allons identifier les éléments à archiver, les acteurs et les protocoles mis en place pour la gestion des archives électroniques La confiance dans le paiement électronique La question de la confiance du paiement sur l Internet est primordiale à la fois pour l acheteur et le vendeur. D une part, le consommateur a besoin d être rassuré face à l usage d outils informatique et technique qu il ne maîtrise pas forcément. D autre part, le professionnel a besoin de solutions de paiement efficaces, rapides et fiables permettant au consommateur de réaliser de la manière la plus fluide possible son acte d achat. Cette angoisse de l acheteur se reflète parfaitement dans les divers chiffres publiés. Ainsi selon une étude menée par le Credoc montre que le pourcentage de paiement en ligne diminue. il est passé de 48%, en 2001 à 35% en 2005 :

34 Fig. n 1O : Evolution de la sécurité du paiement sur Internet Le recul des paiements en ligne est lié à plusieurs facteurs Les Freins liés à la confiance Tout se passe sur un site web comme dans n'importe quel autre contexte commercial ou plus largement, d'échange entre deux personnes. Le point de rencontre entre l'offre et la demande ne suffit pas pour générer l'accord entre les deux volontés, c'est-à-dire la vente. Le facteur psychologique de la confiance doit être présent chez chacune des deux parties. Le problème est que les chemins qui mènent à la confiance ont toujours été complexes, bien avant Internet, Car Internet présente des caractéristiques qui compliquent la tâche des marchands et celle de l'internaute: Ø Des repères de confiance mal définis : contrairement à tout autre lieu physique, Internet n'a pas encore véritablement créé ses habitudes et coutumes reconnus de tous, qui pourraient permettre aux internautes d'évaluer le degré de confiance à affecter à un site. Ø Parallèlement, les marchands ne disposent pas encore d assez de recul pour adopter intuitivement sur le web le comportement synonyme de confiance que les internautes attendent d'elles. Il n'y a pas encore de culture du e-commerce permettant à tous de se repérer facilement. Un principe de méfiance est donc bien établi. Ø Pour la plupart des internautes, le web est un nouveau média très utile, mais dont il convient de se méfier s'il s'agit d'y faire transiter des informations personnelles. La méfiance est le principe. Les internautes ne sont pas des gens comme les autres! Monsieur X peut bien avoir confiance en son banquier, lorsqu'il devient internaute, il se méfie du site de sa banque. Les marchands pensent que les internautes se comportent vis-à-vis d'elles sur Internet comme hors d'internet. Elles se trompent. La vision que l'internaute a de l'entreprise, lorsqu'il visite son site, est obtenue au travers du prisme d'internet. Il est bien conscient que les informations qu'il va confier au site qu'il visite passeront par Internet. S'il perçoit Internet comme un réseau insécurisé, le fait qu'il ait une image positive et rassurante de cette entreprise hors Internet ne

35 modifiera pas cette donnée. Puisque, pour visiter ce site, les données passent nécessairement par Internet, et qu'internet n'est pas sûr, le site n'est pas sûr. Le média modifie le comportement de l'utilisateur. S'il perçoit le média comme peu sûr, il prendra avec méfiance les informations qu'il y trouve et agira avec la plus extrême prudence à l'égard des propositions d'interactivité qui lui sont faites par le site. Le plus souvent, il s'abstiendra. C'est ce comportement des internautes français, pas toujours conscients, qui bloque le dynamisme du e-commerce dans ce pays Définition et moyens Dans un contexte numérique, certains auteurs définissent la confiance comme la disposition du consommateur à croire en la capacité du vendeur à offrir le bien ou le service aux conditions établies. La définition précédente illustre bien la relation entre l environnement et la confiance qui doit nécessairement exister entre un acheteur et un vendeur sur le Net lorsqu un acheteur doit prendre le risque de commercer avec un inconnu. Le développement du commerce électronique dépend largement de la croissance d Internet et de la confiance, que se témoignent mutuellement les différents acteurs. Comment les marchands peuventils surmonter ces difficultés? Tout d'abord en comprenant ce comportement, puis en utilisant tous les moyens à leur disposition. Les trois véhicules de la confiance : une fois compris le mécanisme psychologique qui bloque le comportement actif de l'internaute, le marchand dispose des moyens suivants pour générer la confiance nécessaire au passage à l acte La technique Tous les sites de commerce électronique devraient proposer un niveau de sécurité assez élevé pour l'ensemble des données personnelles que l'internaute peut leur confier. Les entreprises doivent donc progresser pour atteindre cet objectif. Le site devrait indiquer son niveau de sécurité et donner le moyen au client, de le vérifier dans son navigateur. Il pourra également proposer une assistance pour par exemple vérifier la compatibilité du navigateur avec le niveau de sécurité ou mettre à jour son navigateur. Moins de 20% informent de façon pédagogique les internautes sur la sécurité qu'ils garantissent. Il devrait également indiquer comment les informations(personnelles et de transactions) sont cryptées lors de leur passage sur le réseau, quel niveau sécurité est garanti par le site? 40 bits? 56 bits? 128 bits? Si les mesures techniques suivantes sont assez fiables et bien mises en place par le marchand ceci pourrait être une première étape pour rassurer et le mettre en confiance le client Les contenus Certains contenus que le marchand place sur son site peuvent le rapprocher de l'internaute s'ils l'aident à le situer sur son échelle de valeurs. Certaines informations, sur l entreprise, doivent être présentent sur le site afin de rassurer le client.

36 L identité du marchand doit être relevée avec son adresse, numéro Siret, numéro de téléphone si possible. L identité des personnes gérant le site ainsi que leurs compétences, et comment les contacter directement. Les informations juridiques du site doivent être claires et rédigées dans un jargon compréhensible, elles doivent être aux avantages des deux parties : client et marchand. Le site devrait également, respecter toutes les lois définies par la CNIL sur le droit d auteur de consommation de la vie privée, etc. Le marchand doit donner les engagements en cas de problème, il doit prévoir tous les cas et donner les délais de réponses assez courts. Le marchand devrait également préciser ces valeurs, préciser une appartenance à un groupe de spécialistes dans le domaine dans lequel il travaille et les accords signés pour accomplir cette tâche dans la légalité. Les contenus doivent également prévoir tous les cas de figure, toutes les questions de tous les internautes, et si un client contacte un responsable du site, la relation devra être personnalisée afin d être plus proche du client ce La conception du site (design, ergonomie) Les pixels répartis sur les pages du site de l'entreprise peuvent produire pour l'internaute un état de confiance ou, à l'inverse, confirmer sa méfiance. La qualité du design est donc un critère fondamental pour l'établissement de la confiance. Le design comme instrument de la confiance doit être entendu au sens large : Architecture : L'organisation des contenus rassure le client. Le marchand devrait donner toutes les informations dont le client a besoin avant qu il ne s engage. Par exemple, pour un produit commander le prix de la livraison devrait être affiché avant d exiger aux clients de donner toutes ses coordonnées. Ergonomie : les fonctions de navigation dans le site doivent être simples et intuitives. Le site doit être simple à utilisé et ne doit pas être truffé de gadgets inutiles et compliqués. 17 % des sites web utilisent une ergonomie qui masque les informations de sécurité du navigateur. Les entreprises doivent renoncer à ces gadgets ergonomiques et s'en tenir à des interfaces simples et faciles à utiliser. Si les marchands créent des sites Internet compliqués à utiliser alors que les clients préfèrent des sites simples, c'est certainement que les premières ne tiennent pas compte de la psychologie des seconds. Le décalage entre les clients et les marchands révélés par notre étude sur la sécurité transactionnelle montre que cette attitude n'est pas limitée au design mais bien présente dans l'ensemble du projet, de la technique jusqu'aux contenus, en passant par le design. C'est une réelle ingénierie de la confiance qu'il s'agit de mettre en place à tous les échelons du projet. Chaque décision doit être analysée au regard de son effet sur la confiance des internautes. Qu'il s'agisse de la définition des contenus, de leur production ou de leur implémentation via la technologie ou le design, les paramètres qui impactent la confiance sont nombreux et déterminent, en dernier ressort, la réussite et la rentabilité du projet. Il importe que : Les décideurs prennent conscience de l'importance de l'établissement de la confiance pour l'accroissement de la rentabilité de leur site, Les responsables de projet intègrent des critères de qualité et des processus de contrôle

37 qui tiennent réellement compte de la psychologie de l'internaute. Cette ingénierie doit se concentrer sur le "lien" que le marchand doit créer avec chaque client pour qu'il préfère acheter ou, plus largement, agir sur son site Internet plutôt qu'ailleurs. Elle implique un pilotage stratégique du projet qui place les facteurs humains avant la technologie Cas pratique : comment vérifier la sécurité d'une page? La sécurisation d une page Web peut se vérifier en un clin d œil dans le navigateur. Une page est sécurisée si son adresse commence par HTTPS au lieu de http. Un simple coup d'oeil sur l'url de la page dans la barre d'adresse permet donc d'en avoir confirmation. Si la barre d'adresse est masquée, l'adresse de la page est visible en affichant les propriétés de la page ("bouton droit - propriétés" dans Internet Explorer ou "Informations sur la page" dans Netscape). Pour avoir confirmation de la sécurité, un cadenas s'affiche dans Internet Explorer ou se ferme dans Netscape. Dans Internet Explorer, en passant la souris sur cette icône, la taille de la clé s'affiche et un double-clic affiche les informations sur le certificat. Pour afficher les certificats 128 bits, votre navigateur doit être capable de les lire. Vérifiez la version de celui-ci (Aide - A propos de - etc.) et le niveau de cryptographie qu'il sait prendre en compte. S'il est en cryptographie "standard", téléchargez la mise à jour qui permet de prendre en compte le cryptage à 128 bits. Afin de pourvoir régler certains conflits en cas de contestation d un paiement électronique, l archivage des documents et également indispensable. Dans cette prochaine partie, nous allons vous décrire ce que c est qu un archivage sans parler des outils techniques mises en œuvre qui pourraient faire l objet d une étude Point sur l archivage Electronique L archivage, qu il ne faut pas confondre avec la sauvegarde, consiste à mettre en place des actions, des outils et des méthodes pour conserver à moyen et long terme des informations sélectionnées dans le but de les exploiter. Les données doivent être non seulement structurées, indexées et conservées sur des formats appropriés à la conservation et à la migration, mais il faut prévoir leur restitution et leur accessibilité dans un contexte technologique changeant. L'archivage est indispensable. Il sert à effectuer des recherches et permet par exemple d'apporter la preuve des paiements en cas de contestation. Mais il pose un réel problème de sécurité. Le plus grand risque que court un commerçant est de ne pas protéger les données relatives à un paiement ou de ne pas s'assurer de leur protection si elles sont traitées par un tiers. Il faut donc être attentif à la protection des sites et dans le cas de sous-traitance à un tiers (banque, société de services), aux clauses contractuelles sur ce point. Une collection de numéros de carte peut être particulièrement alléchante pour un hacker. Il y trouve des identifiants de cartes en circulation et non opposées qu'il peut utiliser, voir diffuser

38 (comme ce fut le cas en 1999 chez un grand marchand de disques en ligne américain, CD Universe). Les données stockées par les prestataires doivent être conservées et dupliquées, si possible en deux lieux distincts. La conservation des données répond également à des exigences légales de délais conformes à l'utilisation des différents moyens de paiement Les éléments mis en œuvre pour l archivage Nous présenterons le cas échéant, différents scénario de communication lorsqu'une organisation fait appel aux services d'un «tiers archiveur» dans le cadre de la mise en œuvre d un système d archivage électronique garantissant l intégrité, la pérennité et la restitution des messages. L archivage met en scène les objets suivants : 1. Des éléments électroniques à archiver. 2. Des acteurs. 3. Des protocoles d échanges. Les éléments électroniques à archiver Les éléments à archiver sont constitués au minimum de messages électroniques ainsi que de leur signature électronique. On entend par message, tout type de fichier informatique, notamment les fichiers de données sonores, graphiques ou multimédia, les programmes, les messages structurés et non structurés. Les acteurs Deux catégories d acteurs sont identifiées : L émetteur d un message et son destinataire, l un et l autre ou les deux, archivant le message en fin d échange. Ces acteurs sont appelés "donneur d ordre". Le "tiers archiveur", auquel le donneur d ordre confie soit l archive, soit la clé des archives. Selon la taille de l entité professionnelle du donneur d ordre, le tiers archiveur peut être interne ou externe à cette entité. Les protocoles d échanges Les protocoles d échanges sont ainsi caractérisés : Deux protocoles sont utilisés dans le scénario : - Un protocole d archivage (transmission des éléments à archiver du donneur d ordre vers le tiers archiveur), - Un protocole de dés archivage ou de restitution (transmission des éléments dés archivés du tiers archiveur vers le donneur d ordre). Les protocoles présentent des mesures de sécurité spécifiques aux échanges électroniques.

39 Gestion des archives électroniques La gestion des archives, entre le donneur d ordre et le tiers archiveur, est généralement faite de quatre scénarios : 1. Envoi des archives à un «tiers archiveur» 2. Envoi d'une clé des archives à un tiers archiveur (les archives sont conservées par le donneur d'ordre) 3. Retour des archives au donneur d'ordre. 4. Retour d'une clé des archives au donneur d'ordre. A côté du donneur d'ordre et du tiers archiveur, d'autres personnes peuvent être amenées à intervenir dans le scénario d'archivage afin de renforcer les questions de preuve en cas de litige et de garantir la sécurité des échanges électroniques. Les personnes, à ce jour, identifiées, qui tiennent leur pouvoir de l'une et de l'autre ou seulement de l'une des parties à l'échange électronique, sont : le tiers horodateur L'horodatation qui repose sur un ensemble de techniques permet de s'assurer qu'un document électronique a été créé, signé, demandé ou consulté à une certaine date et heure. Dans la mesure où le système d'horodatation mis en place doit pouvoir servir de preuve en cas de litige, il est nécessaire que la datation des messages échangés soit fiable, précise, protégée et reconnue par les partenaires à l'échange. La mission comme l'étendue de la responsabilité du tiers horodateur sont définies dans un contrat de prestation de services qui le lie au donneur d'ordre et au tiers archiveur. le tiers certificateur Le tiers certificateur comme le tiers horodateur, le tiers certificateur tient son pouvoir des parties et non de la loi. En sa qualité d'intermédiaire choisi par les parties pour sa neutralité et son indépendance, le tiers certificateur a pour mission de contrôler et garantir la sécurité des échanges électroniques et de fournir des preuves en cas de litige. les autres «tiers archiveurs» Le tiers archiveur peut être conduit à confier à un autre tiers archiveur la réplication des dites archives. Il peut être également envisagé que pour faire face à une réserve insuffisante en capacité de stockage, le tiers archiveur conclut avec un autre tiers archiveur un contrat de partenariat afin d'assurer sans discontinuité la prise en charge des éléments électroniques arrivants Cumul des fonctions

40 Si le recours à un tiers, indépendant des parties, semble en effet le meilleur moyen de renforcer la validité des échanges électroniques et donc la sécurité juridique des parties en cas de litige, il convient néanmoins de s'interroger sur la faisabilité ou non du cumul de ces fonctions. Tiers archiveur/tiers horodateur. Il peut être envisagé que le tiers archiveur puisse également assurer les fonctions de tiers horodateur. Mais la présence d un tiers indépendant renforce l'efficacité des preuves en cas de litige. Tiers archiveur/tiers certificateur. Le tiers certificateur ayant notamment pour mission de garantir la sécurité des échanges électroniques, il apparaît que celui-ci doit être totalement indépendant des parties à ces échanges et ne peut donc cumuler ses fonctions avec celle de tiers archiveur ; Tiers horodateur/tiers certificateur. En revanche, il n'existe pas d'obstacle majeur à ce qu'un tiers certificateur assure également les fonctions de tiers horodateur ; Autres tiers archiveur Le contrat d'archivage dépend des besoins exprimés par l'entreprise, donneur d'ordre. L'entreprise doit donc, préalablement, mener une réflexion sur ses besoins réels. Pour une bonne cohérence dans l'utilisation de l'information, la politique d'archivage doit être globale au niveau d'une entreprise ou d'un groupe de sociétés. Deux questions doivent notamment être posées. Le marchand doit d'une part, s'intéresser au motif de l'archivage. L'archivage répond-il à de simples impératifs pratiques d'exploitation? ou s'inscritil dans le cadre d'une obligation légale d'archivage?. A cette occasion le marchand doit s'interroger sur l'utilisation future des archives. Les données, une fois archivées seront-elles exploitées par la seule entreprise ou devront-elles constituer un moyen de preuve lors de la survenance d'un différend éventuel (contrôle fiscal, instance judiciaire, etc.) En effet tout ne peut pas et ne doit pas être archivé. Il convient de procéder à des évaluations et des tris de données. La confidentialité et le caractère éventuellement stratégique des données à archiver doivent être pris en compte. Plus la durée de conservation est longue, plus les coûts associés sont importants. CONCLUSION La généralisation d Internet a permis au commerce électronique de se développer et de devenir une grande source d achat. Nous avons vu que l une des craintes majeures sinon la seule qui demeure est celle de la sécurité des transactions qui freine encore certains internautes. Afin de mettre en confiance ces derniers plusieurs moyens de paiements ont été mis au point les uns plus émérite que les autres. Ces mécanismes techniques dont le socle fondamental est la cryptographie, ont octroyé une sécurité convenable mais non pas su, seuls, répondre à tous les

41 problèmes de sécurité. C est la raison pour laquelle des idées ingénieuse ont été associé aux procédés techniques pour renforcer le degré de sécurité c est le cas du tiers payeur ou de la e- carte bleu qui minimise les possibilités d interception de données confidentielles. A coté de moyens techniques, des moyens juridiques permettant non seulement de codifier les relations entre les marchands et commerçants, mais aussi de protéger ceux-ci ont dû être inventé afin de limiter les abus dans un contexte ou les relations de face à face physique n existent pas. Toujours à cause de ce contexte, plusieurs facteurs psychologiques permettant de créer une relation de confiance sont inventés chaque jour par les marchands afin de rassurer sur le degré de sécurité des sites, et par là même, d inciter les internautes à l achat. Sur le même ordre d idée, des méthodes d archivages utilisant des protocoles spécifiques sont également mises en œuvre par les hébergeurs de sites web afin de garantir au client l accès aux données personnelles et la conservation de celles-ci de façon sécurisée, afin d éviter toute exploitation ou interception abusive. Tous ces mécanismes combinés ont contribué à conquérir une grande partie des internautes. Ils ont surtout apportés au client un degré de sécurité considérable autant sur le plan humain que technique. Mais l évolution rapide de la technologie permet toujours aux internautes mal intentionnés de trouver des moyens de tirer profit d Internet. En effet sur le plan technique, de nouvelles techniques d interception de données sont élaborés continuellement, sur le plan psychologique et juridictionnel de nouveaux subterfuges sont inventés pour abuser du contexte «virtuel» Or les lois n évolue pas au même rythme que la technologie, mais naissent suite à l expérience malencontreuse d un internaute et sont très souvent du ressort de la jurisprudence. Il est donc très important pour les internautes d utiliser le paiement sur Internet en vérifiant toutes les conditions techniques, juridiques, psychologique et d archivage qui lui sont promis par le marchand et le tiers. Cette vérification complète et pas seulement partielle permet également de verrouiller la sécurité. Il ressort également de ce mémoire que compter uniquement sur les protections techniques conférées par les sites web ne garantie pas un degré de sécurité optimale même si ces protections sont optimales. Il est important pour l internaute de protéger l accès à son ordinateur, à son réseau et de vérifier les conditions de transaction de stockage et d archivage de ses données personnelles. La sécurité ne doit cependant pas devenir une obsession car malgré toutes les précautions possibles la seule façon d être certains d être en sécurité est de fermer son accès au réseau Internet.

42 Module D02 Management et Productivité des TIC Paiement électronique et sécurisation des échanges 0 - Introduction 1 - Etat des lieux 2 - Plan technique, la sécurité transactionnelle 3 - Aspect juridique 4 - Confiance et archivage Bibliographie Gérard-Michel Cochard [email protected] Damaris Bassama [email protected] Lise Lefeuvre [email protected] Marlyse Thiermont

43 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur : Gérard-Michel Cochard 0 - Introduction Systèmes de paiement électronique Le paiement électronique est fortement contraint par les questions de sécurité que l'utilisation d'internet implique. La méthode actuelle universelle de paiement "à distance" est l'utilisation de la carte bancaire l'acheteur (payeur) communique au vendeur (payé) son nom, son numéro de carte et sa date d'expiration le vendeur communique ces informations à sa banque (à l'aide d'un boîtier TPE) qui crédite le compte du vendeur de la somme correspondante. la banque du vendeur sera remboursée ultérieurement par la banque de l'acheteur si l'acheteur ne s'y oppose pas entre temps. Le procédé paraît simple. Effectivement, il pose 5 difficultés l'acheteur doit faire confiance au vendeur qui pourrait compter une dépense supérieure à la dépense réelle. Signalons toutefois que l'acheteur a 90 jours pour manifester son désaccord et annuler l'achat. les informations relatives à la carte bancaire sont transmises en clair et il y a donc le risque d'interception par un pirate. le vendeur doit contracter un contrat VPC (vente par correspondance) auprès de sa banque ce qui permet le point 2 du processus. La banque perçoit une commission allant de 0,7 à 1,5% du montant de la transaction. la garantie du paiement n'est pas assurée ; on peut toutefois livrer que lorsque l'acheteur sera débité. les paiements de petites sommes (inférieures à 10 ) ne sont pas possibles car les banques ne les acceptent pas pour les paiements par carte bancaire. Examinons comment on peut améliorer le système décrit plus haut.

44 Cryptage Les navigateurs actuels (comme Netscape ou Internet Explorer) sont généralement dotés d'un logiciel de cryptage/décryptage appelé SSL (Secure Socket Layer). Bien entendu, côté vendeur, il faut interpréter les caractéristiques bancaires codées ce qui est effectué par les "serveurs marchands". On peut aussi utiliser des logiciels spécifiques de cryptage qui sont complémentaires au navigateur et qu'il faut évidemment charger sur son ordinateur (Kleline, Cybercash,...). On peut aussi utiliser des dispositifs hardware comme des lecteurs de carte associés à l'ordinateur. C'est certainement la meilleure solution car elle permet d'authentifier l'acheteur qui peut entrer son code secret le lecteur local opère la vérification. Malheureusement, ces périphériques sont à acheter car ils ne sont pas encore composants standards de l'ordinateur. Passage par un tiers spécialisé Le processus de paiement implique l'intervention d'un prestataire spécialisé dans la monétique. L'acheteur opère comme dans le cas standard choix d'un produit, saisie d'informations non confidentielles (nom, adresse,...), communication cryptée (SSL) des informations bancaires. Au niveau du vendeur, le site marchand est équipé d'un logiciel qui renvoie de manière transparente les informations bancaires cryptées vers le serveur de paiement du prestataire spécialisé qui vérifie ces informations, la validité de la carte, la solvabilité de l'acheteur, l'acceptation de la banque du vendeur et retourne, s'il n'y a pas de problème, une confirmation au site marchand. Celui-ci peut alors procéder à la livraison. Ce service de prestataire libère le vendeur des contraintes de vérification il y a externalisation du point 2 du processus standard. En France, deux sociétés offrent leurs service de "serveur de paiement" Sligos (système SIPS) et SG2 (système Payline). Bien entendu, ces prestataires se font rémunérer pour leurs services par la vente du logiciel à installer sur le site marchand et par une commission sur chaque transaction Le porte monnaie électronique Ce dispositif est prévu pour des achat d un montant maximal de 30 (micro-achats). Le principe est de stocker une somme d'argent dans un serveur bancaire (virtual wallet) ou dans une carte à puce (e purse). A chaque transaction, le montant est diminué du montant de la transaction. Plusieurs systèmes sont concurrents Mondex, Digicash, Kleline, Cybercash,... Normalisation Comme on peut le voir, il existe de nombreux systèmes qui, évidemment, ne sont pas tous compatibles. Il devient donc important d'imposer une normalisation à tous ces systèmes. C'est ce que proposent SET (Secure Electronic Transaction), e-comm ou C-Set. SET est le fruit de la collaboration de nombreuses sociétés MasterCard, Netscape, Visa, Microsoft, IBM,... et porte sur les cartes bancaires et la sécurisation des paiements. Les objectifs de SET sont assurer l'authentification des détenteurs de cartes, des commerçants, des banques assurer la confidentialité des données de paiement préserver l'intégrité des données du paiement. Ces objectifs sont concrétisés par trois logiciels Portefeuille du porteur de carte (wallet), activé par le navigateur du poste acheteur

45 Serveur de paiement commerçant, activé par le serveur Web du vendeur Serveur de paiement pour la banque acquéreur, activé pour les échanges entre le vendeur et la banque du vendeur et situé sur le serveur de la banque. La procédure SET consiste, pour l'acheteur, à se faire reconnaître comme un "bon payeur" par une "autorité certifiante" ou "tiers de confiance" qui lui délivre un certificat. Ce certificat est transmis, en cas d'achat, au vendeur qui peut, à son tour, se mettre en rapport avec l'autorité certifiante pour vérifier le certificat et assurer le paiement. C-SET, d'origine purement française et soutenu par les banques françaises et la Poste est compatible, par un système de traducteurs, avec SET. Il implique l'utilisation d'un lecteur de carte à puce chez l'acheteur. e-comm, développé par plusieurs banques françaises également, est un ensemble de spécifications pour combiner la carte à puce et SET. Enfin, Cyber-Comm est la conjonction de C-SET et de e-comm.

46 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 1. Etat des lieux Avec la généralisation d Internet, le commerce électronique est une réalité incontournable dont l ampleur ne cesse de s étendre. Le marché virtuel est en pleine explosion, et même si les problèmes de sécurité, de gestion, d adaptation, et d utilisation sont encore nombreux, ils tendent à être résolus ou contournés. Le commerce électronique s est développé et la question d un paiement électronique sécurisé s est posée, car les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier. Il a donc fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne, pour les particuliers et les professionnels. L enjeu du commerce électronique est donc de trouver des modes de paiements sûr et idéalement infaillibles, faciles d utilisation et acceptés du grand public permettant aux acheteurs de se sentir en sécurité. Un tel enjeu nécessite de sécuriser les transactions et de normaliser les sites d e-commerce mais aussi de protéger les informations délivrées par le client, en encadrant les modes de conservation et d archivage de ces informations et en protégeant les droits de chaque partie. Il existe de ce fait plusieurs moyens mis en œuvre que ce soit sur le plan technique, juridique, psychologique pour protéger les parties concernées par le paiement électronique. Nous présenterons dans ce document ces moyens en quatre parties. Dans la première partie nous allons établir un état des lieux des différentes méthodes de paiement électronique existantes, en indiquant leurs utilisations actuelles. Dans une seconde partie, nous préciserons les mécanismes de sécurité transactionnelle en expliquant notamment les concepts se rattachant à la cryptographie et aux protocoles. Nous aborderons dans une troisième partie les points juridiques qui protègent les acteurs du commerce électronique et qui codifient leurs relations. Puis nous terminerons par les autres mécanismes psychologiques qui pourraient inciter les internautes à acheter et qui sont basés sur la confiance. Le commerce électronique connaît actuellement une très forte croissance du à plusieurs raisons. Dans un

47 premier temps, la démocratisation de l accès à Internet, l évolution des modes d achats des consommateurs ainsi que la facilité, la diversité et la rapidité des achats pour le client. De plus la réduction des coûts et la flexibilité qui arrange le marchand. Comme nous l avons dit en introduction, les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier, pour cela, il a fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne. Voici une liste non exhaustive des moyens de paiement, les plus utilisés, existant sur Internet Les méthodes de paiement Il existe actuellement plusieurs modes de paiement électronique : Par courrier électronique, le client n'a plus besoin de communiquer avec l'entreprise par téléphone. En effet, après avoir fait parvenir par Internet sa commande, le client reçoit un numéro de facture. Il doit alors envoyer son numéro de carte de crédit ainsi que ce numéro de facture par le biais du courrier électronique. Cependant, l'envoie d'informations concernant une carte de crédit par courrier électronique n'est pas conseillé dû au risque d'interception. Le système Sympass, outil reposant sur le principe du double clavier : celui de l ordinateur et celui du téléphone. Lors d un achat en ligne, l internaute saisit uniquement les 8 premiers numéros de sa carte ainsi qu un numéro de téléphone. Il reçoit alors immédiatement un appel téléphonique d un service vocal lui demandant de saisir sur son clavier téléphonique les 8 derniers chiffres. Le porte-monnaie électronique : La Porte-Monnaie Electronique sur carte à puce : Monéo : Ce système repose sur la présence d un support physique, une carte à puce équipée d un microprocesseur pouvant être chargée avec une valeur monétaire permettant d effectuer des achats. Cependant il est nécessaire que l utilisateur dispose d un lecteur de carte relié à son ordinateur. Le Porte-Monnaie Electronique Prépayé : Paynova, qui offre à tout consommateur la possibilité d ouvrir un porte-monnaie virtuel pouvant être utilisé sur divers sites Internet. L utilisateur devra indiquer son nom et prénom ainsi qu une adresse courrier, pour créditer son compte par carte bancaire. Lors de l achat sur Internet, le consommateur choisira parmi les solutions de paiements proposés par le commerçant, l outil Paynova. Il devra alors se connecter sur son porte-monnaie virtuel pour procéder au paiement. L intérêt pour le marchand est d avoir une garantie du paiement : l argent est disponible dans le porte-monnaie du client, et ce dernier est authentifié lors de la transaction. Le Porte-Monnaie Electronique Post-Payé : Click&Buy. L internaute lors de son inscription fournit une seule fois ses informations bancaires, consomme les contenus et services chez les marchands, puis est débitée une fois par mois du montant global de ses dépenses. Le Micro paiement : Les Kits de connexion ou Dialers sont des outils qui servent à rémunérer des contenus immatériels de faible montant (par exemple, une sonnerie, un logo, etc.) avec une livraison immédiate. Les règles déontologiques du CST (Conseil Supérieur de la Télématique) limitent le recours à ces outils aux cas de rémunération de contenus Internet. Pour les dialers, il existe deux catégories, ceux renvoyant vers un numéro surtaxé français (Auditel, Kiosque Micro, etc.) et ceux renvoyant vers des numéros internationaux.

48 Les services vocaux à tarification majorée : il en existe deux types différents. Mode d obtention d un code par le truchement d un service vocal à tarification majorée, permettant à l utilisateur de pouvoir consulter le contenu numérique (par exemple pour consulter un modèle de lettre de motivation sur Internet). Le système Allopass, très connu, utilise ce type de service. Mode d obtention d un code en deux temps, en premier l internaute relève le site sur lequel il veut récupérer un code, par la suite il appelle un service à tarification majorée auquel il indique le code par le clavier téléphonique. (par exemple : Audiotel Décroché) Cela lui permettra d accéder à la partie réservée sur le site le temps de la communication avec le service(par exemple obtenir un code d accès à l espace de conception d une carte de voeux virtuelle). Les SMS + permet aux détenteurs d un téléphone mobile, soit de recevoir directement sur le mobile un contenu commandé par SMS surtaxé (par exemple logo, sonnerie, etc.), soit d obtenir, par retour SMS, un code permettant d accéder à un contenu sur Internet (comme pour Audiotel). Le Porte-Monnaie virtuel (PMV), par exemple MONEY TRONIC (système de paiement de la Caisse d Epargne) : c est un système qui s adapte plus au paiement en ligne que le porte-monnaie électronique car il ne nécessite pas de support physique. Il est chargé depuis sa carte de crédit et est rempli en fonction des besoins du client qui utilisera l argent virtuel qu il contient pour payer ses achats sur Internet. C est en fait un compte où on dépose de l argent, qui peut par la suite être dépensé sur les sites de commerce en ligne qui acceptent MONEY TRONIC. La solution ID TRONIC, c est un système (mis en place par la Caisse d Epargne) qui permet à l internaute d acheter avec une carte bancaire sans en donner le numéro. Pour pouvoir bénéficier de ce service, l internaute client ou non de la Caisse d Epargne doit s inscrire (en ligne, par téléphone ou par courrier) en indiquant son RIB et ses coordonnées. Il doit également confier un numéro de téléphone portable. Par exemple, lors d un achat, l utilisateur rentre soit le code d accès fourni lors de son inscription, soit son adresse de courrier électronique. Un SMS lui est alors envoyé sur son téléphone mobile, lui indiquant un mot de passe à saisir sur l écran de paiement en ligne. Le paiement sera alors confirmé et l identité de l utilisateur authentifié. Par la suite le paiement est effectué entre le marchand et la banque. Les chèques électroniques, par exemple Financial Services Technology (FSTC) et Netchex. FSCT s apparente à la version papier, Le client disposerait ainsi d un livret de cheques électroniques qui serait délivré au travers d un site Web ou attaché au courrier électronique (avec signature électronique). Par contre Netchex fait intervenir un intermédiaire auprès duquel l utilisateur et le commerçant devront s enregistrer. Toutefois ce nouveau moyen de paiement est difficilement transposable en Europe dans la mesure ou l émission et l utilisation de chèques fait l objet d une réglementation très stricte en comparaison du système américain. La e-carte Bleue, ce système est une solution qui doit remédier aux problèmes de la transmission des informations bancaires nominatives sur le réseau (mondial). Ce procédé permet d associer des coordonnées bancaires temporaires (à usage unique) à un compte réel, qui seront transmises sur le réseau, en lieu et place des informations persistantes sur la carte bancaire. L avantage étant que même si les coordonnées bancaires temporaires sont interceptées, il n y aura aucun impact sur la sécurité du compte réel. Paypal est un système de paiement en ligne qui utilise les adresses pour identifier l expéditeur et le destinataire d un paiement et qui passe par le réseau international des cartes bancaires pour effectuer le paiement. Le paiement est initié depuis le compte Paypal de l acheteur et arrive sur le compte Paypal du vendeur. Ainsi aucun des deux partis n a besoin de communiquer avec l autre. Visa Direct permet aux utilisateurs d envoyer de l argent aux porteurs de carte Visa. Visa Direct a été lancé afin de faciliter les paiements transfrontières de faible montant entre les particuliers. Pour effectuer un virement, l expéditeur peut utiliser différents canaux (Internet, agence bancaire, banque à domicile). Plusieurs moyens de transferts sont possibles tels que l adresse de courrier

49 électronique ou le numéro de compte du bénéficiaire. La somme virée est alors directement versée sur le compte courant du bénéficiaire. Le paiement à partir d outils physiques, certains acteurs français proposent aux consommateurs des produits de paiement en ligne reposant sur des supports physiques, par exemple sous forme de cartes prépayées. Trois acteurs proposent de telles solutions : Kertel (filiale de Iliad), EasyCode et Néosurf. Le principe est commun à l ensemble des solutions : l internaute acquiert dans un point de vente (les bureaux de Poste ou les débitants de tabac par exemple), une carte chargée d un montant prédéterminé. Sur cette carte figure un ou plusieurs codes que le consommateur devra indiquer lors de son achat en ligne. Le rétro-paiement : le «cash-back» permet à un internaute de gagner de l argent lors de ses achats. A chaque achat, une partie du montant payé lui est, en effet, reversé par virement ou chèque bancaire, voire mis à sa disposition pour acquérir biens et services sur des sites partenaires. Ce phénomène de «rétro-paiement» est en pleine expansion en France où trois acteurs cohabitent sur ce marché (EbuyClub, CashCash et CashStore.fr) L utilisation des différents modes de paiement L année 2004 a encore constitué une année de forte progression du commerce électronique. D après la FEVAD (Fédération des Entreprises de Vente A Distance) publié le 20 janvier 2005, les ventes en ligne ont augmenté de plus de 53% par rapport à l année précédente. L ACSEL (Association pour le Commerce Et les Services en Ligne), quant à elle, indiquait en février 2005 une hausse de 65% du chiffre d affaire du commerce électronique français pendant la même période, ce dernier ayant dépassé le seuil symbolique des 2 milliards d euros. Le panier moyen de l internaute se situe aujourd hui autour de 54 euros, celui-ci achetant de plus en plus régulièrement. Dans un tel contexte, la question du paiement sur l Internet est primordiale à la fois pour l acheteur et le vendeur. D une part, le consommateur a besoin d être rassuré face à l usage d outils informatique et technique qu il ne maîtrise pas forcément. D autre part, le professionnel a besoin de solutions de paiement efficaces, rapides et fiables permettant au consommateur de réaliser de la manière la plus fluide possible son acte d achat. Cette angoisse de l acheteur se reflète parfaitement dans les divers chiffres publiés. Ainsi selon une étude menée par le Credoc :

50 Fig. n 1 : Evolution de la sécurité du paiement sur Internet Néanmoins, une fois le pas franchi, le taux d usage des cartes de paiement est particulièrement important. Selon la FEVAD : Fig. n 2 : Répartition des méthodes de paiement sur Internet en 2005 Les Français sont de plus en plus nombreux à effectuer des achats sur internet. Ainsi 47% des internautes ont réalisé au moins un achat en ligne (39% en 2004), selon une étude de Médiamétrie/NetRatings et de la Fédération des entreprises de vente à distance. Plus en détail, voilà certaines indications sur la répartition de l utilisation de quelques modes de paiement sur Internet :

51 Quelques chiffres Champ d application Avantages/inconvénients PAYPAL 86 millions d'utilisateurs à travers le monde Présence d un tiers E-Carte Bleue transactions /semaine, 5000 porteurs / semaine Plus de utilisateurs 1,4 millions de transactions pour un montant total de 110 millions d euros Plus de marchands Acceptés par presque tous les marchands Taux de refus très bas Sympass 25 marchands français ou étrangers Plus de transactions /jour utilisateurs atteint en l espace de 20 mois nouveaux utilisateurs/mois. 38% des utilisateurs y ont eu recours plus de deux fois au cours du trimestre, 20% plus de quatre fois ID TRONIC 2 millions d euros d achat et aucune fraude Un taux d usage 10 fois supérieur à celui de la e- Carte Bleue ( transactions enregistrées par ID Tronic pour sites) Cette solution permet également d acheter par l ensemble des sites internationaux Met en oeuvre la solution 3D- Secure

52 Micro-Paiement électronique ` Moneo Panova aux Etats-Unis, 1,6 milliards de dollars en 2003 et 1,8 milliards de dollars en 2004, soit une progression de 13,7% Les analystes estiment qu il représentera en 2007, 5,5 milliards de dollars aux USA et 2,37 milliards d euros en Europe soit une progression de plus de 40% par an (due principalement aux secteurs des jeux en ligne, de la musique ou de la vidéo à la demande) En ,2 millions de porte-monnaie chargés points de paiement installés et paiements réalisés /semaine comptes et 500 cyber-marchands en Europe 20 marchands français proposent cette solution de micro-paiement, pas forcément de manière exclusive Aujourd hui, le secteur du paiement de petites sommes, le micro-paiement, est très diversifié : achat d articles de presse, de sonneries de portable, de logos permettant de personnaliser son téléphone, achat de morceaux musicaux sur les plates-formes payantes, de jeux en ligne, etc. S adresse principalement aux PME qui peuvent avoir des difficultés à convaincre les banques pour obtenir un contrat de «vente à distance» Intéresse les cybermarchands saisonniers (clubs, lobbying, associations), les spécialistes des «petits prix» (sonneries) Allo pass Plus de sites internent français ont recours à ces solutions de paiement et leur nombre ne cesse de progresser Ces solutions séduisent plus les particuliers ou les petits éditeurs de site à la recherche d une solution de paiement facile à installer Néanmoins, cette forme de paiement en ligne demeure relativement marginale auprès des grandes enseignes au regard du commissionnement institué (prélèvement de 30% par l opérateur téléphonique) Bien que diversifiée, cette liste de paiements électroniques ne recense pas tous ceux existant actuellement. Il faut savoir que la diversité de ces moyens de paiement vient du besoin pour les marchands, de fournir des mécanismes de paiement simplifié et sécurisé. Ce sont ces mécanismes techniques que nous allons expliquer dans la partie suivante et qui fondent la sécurité des transactions commerciales.

53 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 2. Plan Technique : la sécurité transactionnelle L enjeu du commerce électronique est celui d'acquérir la confiance des consommateurs pour développer le marché. Mais la confiance en matière de transaction électronique transite principalement par la sécurité du mécanisme de paiement, or deux vulnérabilités méritent en particulier d être soulignées : La vérification de l identité des parties impliquées dans les transactions : L absence d identification forte et mutuelle créée des risques de fraudes importantes La protection de l ordinateur personnel des clients : celui-ci est, en général, peu protégé contre, par exemple, les tentatives externes de prise de contrôle de la machine, les attaques par des virus ou le chargement non sollicité ou non contrôlé de logiciels à partir de l Internet. Le manque de sécurité des instruments de paiement constitue un frein certain à la décision d achat sur Internet. C est la raison pour laquelle des protocoles de paiements sécurisés utilisant la cryptographie sont mis en place Les protocoles et procédés de paiement sécurisés Les principaux protocoles Les protocoles de sécurité établissent des mécanismes de communication qui garantissent la confidentialité des données. Ils existent plusieurs protocoles mais nous allons nous intéresser ici à deux protocoles particulièrement reconnus. Le protocole SSL (Secure Sockets Layers)

54 Consiste au cryptage des informations sensibles pour les rendre incompréhensibles de ceux qui ne disposent pas des éléments nécessaires pour les décrypter. Dans ce cas, lors d un paiement sécurisé les informations bancaires du client parviennent directement au marchand sous forme cryptées. Le protocole SET (Secure Electronic Transactions ) Utilise le protocole SSL avec en plus la particularité d identifier de manière précise le possesseur de la carte de crédit. De plus, ce protocole confie la gestion de la transaction entre le vendeur et l'acheteur à un intermédiaire (comme une banque par exemple). Ceci a l avantage d éviter au consommateur de communiquer au site marchand, son numéro de carte bancaire. Un mécanisme de paiement sécurisé confié à un tiers est apprécié également par le vendeur car ce procédé le dégage de toute responsabilité en cas de piratage de ces numéros, puisqu il n a accès à aucun moment aux données bancaire du client. Le protocole SSL via un organisme bancaire est un compromis entre les deux précédents : la gestion des paiements se fait via l Extranet proposé par la banque et l acheteur envoi ainsi directement ses informations bancaires sur le site de la banque du marchand. Le marchand ne voit jamais transiter les numéros de carte bancaire et informations associées. Ce en quoi il ressemble au protocole SET. Mais il lui reste toujours une faille par apport à ce dernier, c est que le marchand n a aucune garantie concernant l identité du client car l utilisation de certificats électroniques permettant d identifier aussi le client et pas seulement le marchand n est pas pris en compte par SSL. Nous allons dans la section suivante décrire les procédés techniques utilisés par ces protocoles, pour garantir et assurer la fiabilité des transactions. Les procédés permettant de garantir la sécurité transactionnelle lors des paiements électroniques doivent apporter quatre principales garanties aux utilisateurs (marchands comme clients) : L authentification : ce procédé permet d une part aux clients d être certains que les marchands à qui ils confient les renseignements sur leur carte de crédit sont réellement ce qu ils prétendent être. D autre part au marchand, de vérifier que le client est le vrai propriétaire de la carte de crédit. L intégrité des données : ce procédé permet de s assurer que le message n a pas été modifié par un tiers durant la transmission La non-répudiation : cette fonction empêche les clients ou les marchands de nier qu ils ont reçu ou émis un message donné. La confidentialité : cette fonction empêche les tiers de lire des messages interceptés. Toutes ces garanties ne peuvent être apportées que par la combinaison de plusieurs procédés. Concrètement, la confidentialité consiste en un cryptage/décryptage des données échangées par le navigateur de l'internaute et le serveur du marchand. Lorsque cette sécurité existe, le navigateur impliqué dans cette opération peut en informer l'internaute en affichant, le plus souvent, l'icône d'un cadenas fermé qui indique également la taille de la clé de cryptage [algorithme permettant de rendre une information intelligible] utilisée. Cette icône étant produite par le navigateur, il n'existe pas de faille connue permettant de la falsifier : elle est le reflet exact de la sécurité transactionnelle utilisée pendant l'échange des données de la page en cours. Il est donc possible à tout internaute de vérifier le niveau de sécurité d'un site simplement avec son navigateur. Mais à la cryptographie, se joignent d autres procédés permettant d identifier avec plus de précision et de fiabilité les interlocuteurs c est la signature numérique et la certification. Nous étudierons donc dans cette partie la cryptographie qui est le socle de tous procédés de sécurité car elle est garante de la confidentialité mais aussi, la signature numérique et la certification qui la complète pour garantir les 3 autres critères d une transaction sécurisée.

55 La cryptographie Crypter une information revient à la rendre incompréhensible par ceux qui ne possèdent pas le procédé de décodage. C est un procédé mathématique à la base mais qui est utilisé en informatique sur les réseaux non sécurisés comme Internet, pour crypter les messages, afin qu'aucune personne autre que le destinataire ne puisse les lire. Le dialogue se passe alors ici entre les machines. Le décryptage qui est l opération inverse permet au destinataire du message de déchiffrer le message qui lui est destiné. Voici un schéma illustrant bien ce mécanisme : Fig. n 3 : Mécanisme de cryptage et décryptage Le processus de cryptage et de décryptage nécessite l utilisation de deux outils : Un algorithme de cryptographie ou un chiffrement qui est une fonction mathématique. Une clé (un mot, un nombre ou une phrase) qui associé à cet algorithme va crypter le texte ou le décrypter. Voici une illustration de ce concept : Fig. n 4 : Cryptage avec clé et algorithme La notion de clé Une clé est en fait une valeur utilisée dans un algorithme de cryptographie, afin de générer un texte chiffré. Les clés sont en réalité des nombres extrêmement importants, concrètement c est une suite de bit(0 et 1) qui forme un nombre. La taille d'une clé se mesure en bits et plus la taille des clés est importante plus elle est sécurisée. Actuellement, la réglementation fixe la taille maximale des clés à 128 bits. Il faut noter qu en deçà

56 de ce nombre une clé est considérée comme vulnérable car plus il y a de bits, plus le nombre est grand, plus la tâche du pirate sera longue : il devra tester, un par un, toutes les combinaisons possibles jusqu'à trouver le nombre qui décrypte le message protégé. L'opération n'est donc pas complexe : elle demande seulement du temps et de la puissance informatique. En effet, si pour casser une clé de 40 bits, il suffit de tester 240 combinaisons, soit quelques milliards de possibilités, pour casser une clé de 128 bits, c'est 2128 combinaisons qu'il s'agit de tester : Aucun cas de cassage d'une clé de 128 bits n'a été révélé et le challenge reste les clés de 64 bits pour les pirates. La sécurité des données cryptées repose donc entièrement sur deux éléments : L invulnérabilité de l'algorithme de cryptographie (algorithme difficile à retrouver) La confidentialité de la clé Une seule clé peut être utilisée pour crypter et décrypter. Dans ce cas le destinateur communique la clé aux destinataires pour qu il puisse décrypter son message. C est la cryptographe à clé privée ou à clé symétrique La cryptographie à clé privée ou symétrique Dans ce cas, la clé doit être gardée secrète car elle permet de crypter et décrypter le message. Si elle est interceptée, le système s écroule. Voici une illustration de son mécanisme : Fig. n 5 : Mécanisme de la cryptographie à clé privé Utilité et limites Le cryptage conventionnel à clé privé comporte des avantages car il est très rapide. De plus, il s'avère particulièrement utile pour les données véhiculées par des moyens de transmission sécurisés. En effet comme on le voit dans le paragraphe suivant, il peut entraîner des coûts importants en raison de la difficulté à garantir la confidentialité d'une clé de cryptage lors de la distribution notamment sur les réseaux insécurisés comme Internet. La clé privée doit être distribuée de façon confidentielle à tous les destinataires des messages pour qu il puisse les décrypter. Cette contrainte soulève plusieurs problèmes : Les risques de détournement de cette clé lors de sa distribution au destinateur notamment dans le cas de milliers de navigateurs et d un serveur qui échange leurs clés sur le réseau Internet pour crypter et décrypter leurs dialogues. Pour assurer la confidentialité, chaque expéditeur devrait fournir une clé différente, à chaque destinataire avec lequel il entend communiquer. Autrement chaque destinataire potentiel serait capable de lire tous les messages, qu ils lui soient destinés ou non. Une autre limite du chiffrement avec une clé secrète est l incapacité de cette méthode d assurer la non-

57 répudiation. Étant donné que les deux parties ont la même clé, l une d entre elles peut créer un message avec la clé secrète partagée et soutenir que le message a été émis par l autre partie. S il est utilisé seul, le chiffrement avec une clé secrète ne convient donc pas au commerce électronique c est la raison pour laquelle la cryptographie à clé publique, utilisé par les protocoles de paiement électronique a vu le jour Cryptographie à clé publique ou asymétrique La cryptographie à clé publique utilisée par les protocoles SSL et SET est un procédé asymétrique utilisant une paire de clés pour le système de cryptage, dont l une sert à chiffrer les messages et l autre à déchiffrer les messages ou vice-versa. Voici une illustration de ce mécanisme : Fig. n 6 : Mécanismes de cryptage à clé publique Règles de sécurité Les deux clés sont reliées par une fonction mathématique Lorsqu un message est chiffré par une clé il ne peut être déchiffré que par l autre clé Il est impossible de déduire la clé privée à partir de la clé publique Le Récepteur communique sa clé publique à l émetteur L émetteur chiffre le message avec la clé publique puis l envoi Le récepteur déchiffre le message avec sa clé privée Voici une illustration de ce mécanisme : Fig. n 7 : Rôle des utilisateurs dans le mécanisme de cryptage à clé publique

58 Utilités et limites La cryptographie de clé publique présente un avantage majeur car l'expéditeur et le destinataire n'ont plus besoin de partager des clés secrètes via une voie de transmission sécurisée. Les communications impliquent uniquement l'utilisation de clés publiques et plus aucune clé privée n'est transmise ou partagée. L utilisation de clés permet de sécuriser le dialogue et donc de garantir la confidentialité des données. Mais ceci ne suffit pas à rassurer les internautes, car l identité de ceux avec qui le dialogue est établi et l intégrité du message qui leur parvient sont des points tout aussi importants à protéger. Un prétendu récepteur peut par exemple détourner une clé privée et récupérer les informations d un message alors qu il n est pas le récepteur attendu par l émetteur. Il peut disposer du message comme il veut et porter atteinte à l intégrité du message, puis le renvoyer aux émetteurs qui possèdent les clés publiques. La confidentialité du message est bien garantie ici, mais l intégrité ne l est pas, ni l authentification. Deux procédés de sécurité supplémentaires sont donc mis en place afin de garantir l intégrité des données ainsi que l identification et l authentification des émetteurs et récepteurs : c est la signature numérique et la certification La signature numérique Une signature numérique a la même utilité qu'une signature manuscrite. Cependant, une signature manuscrite peut être facilement imitée, alors qu'une signature numérique est pratiquement infalsifiable. Utilité et principe La signature numérique confère trois des quatre fonctionnalités d un mécanisme de sécurité : L intégrité des informations c est à dire qu elle permet de s assurer que le message n a pas été modifié. L'identification du signataire car elle permet de faire le lien avec l auteur. La non répudiation, car l'expéditeur ne peut prétendre qu'il n'a pas envoyé les informations. La signature numérique à elle seule ne garantit en aucun cas la confidentialité des données. C est la raison pour laquelle elle est combinée avec les systèmes de cryptographie lorsque les quatre fonctionnalités d un mécanisme de sécurité sont recherchées. Dans le cas de figure où la confidentialité n est pas un critère prépondérant elle peut d ailleurs être utilisée avec du texte en clair. Elle atteste juste que l entité avec qui on dialogue est bien celle à qui on s attend et que le message n a pas été récupéré et modifié. Principe de la signature numérique La signature numérique s obtient en 2 étapes : Lorsqu on applique au message en clair une fonction de hachage, on obtient un élément de longueur définie à l avance appelé résumé de message. En outre, toute modification apportée aux informations entraîne un résumé complètement différent. Ensuite le résumé et la clé privée sont associés pour créer la «signature». Le message et la signature sont transmis au récepteur. Le message peut-être crypté ou pas. Voici une illustration de ce mécanisme :

59 Fig. n 8 : Génération d une signature numérique Pour vérifier la signature, c est-à-dire que le contenu du message est conforme au message attendu et que l émetteur du message est bien celui qui nous a donné une clé publique, il suffit de réaliser l opération inverse. C est-à-dire d appliquer d une part la fonction de hachage au texte en clair lui-même pour obtenir le «résumé du message» et d autre part d appliquer à la signature la clé publique correspondante pour obtenir également le «résumé du message». Si les deux condensés sont les mêmes, alors la signature correspond bien au message reçu. Voici une illustration du procédé de vérification :

60 Fig. n 9 : Vérification d une signature numérique Si une fonction de hachage sécurisée est utilisée, il est impossible de récupérer la signature d'un document pour la joindre à un autre document ou d'altérer un message signé. La moindre modification apportée à un document signé entraîne l'échec du processus de vérification de la signature numérique. La signature numérique est souvent utilisée pour valider des documents tels que les certificats dont on parlera en détail plus loin. Dans ce cas le document est en clair et la signature numérique est opposée au bas du document avec une fonction de hachage permettant de retrouver le résumé du message fourni. En appliquant la clé publique à la signature d une part et la fonction de hachage au message en clair d autre part. On retrouve alors un résumé du message comparable à celui qui est fourni au bas du document. Si les deux résultats sont similaires («résumé du message») en tout point, on en conclut que le document provient bien de l émetteur dont on a la clé publique. Cependant la signature numérique a ses limites car rien n atteste que celui qui nous donne la clé publique n a pas détourné la clé privé correspondante et se fait passer pour quelqu un qu il n est pas afin de soutirer des informations. En réalité, la seule façon de garantir que la clé publique obtenue est celle du destinataire qu on attend c est d accepter uniquement les clés distribuées physiquement, car l identité de l émetteur serait vérifiée. Mais dans la réalité d Internet où le dialogue se fait avec des milliers de serveurs, ce procédé est inapplicable mais un autre mécanisme similaire allant dans le même sens est utilisé : c est la certification qui va permettre de confirmer qu une clé appartient réellement à l interlocuteur qui la distribue La certification Utilité et principe Le certificat à la fonction qu un passeport aurait dans le monde matériel car il comporte des informations qui identifie l auteur d une clé et déclare qu une autre personne a confirmé cette identité. Il a une valeur juridique même s il se sert de la cryptographie (signature numérique). Il contient des informations (associées à la clé publique d'une personne), aidant d'autres personnes à vérifier qu'une clé est authentique ou valide. Il permet de contrecarrer les tentatives de substitution de la clé d'une personne par une autre. Renforcer l authentification en utilisant des certificats numériques, entraîne d avoir recours à un tiers de confiance ou à une société d authentification (SA).

61 Le principe de la certification par un tiers Ce mécanisme nécessite d avoir recours à un tiers de confiance ou à une société d authentification (SA). Les détenteurs de clés publiques les soumettent à une SA accompagné d une preuve d identité, et la SA appose sa signature numérique certifiant ainsi que la clé publique jointe au certificat appartient à la partie stipulée. Les certificats numériques constituent un des fondements des opérations électroniques protégées puisqu ils permettent à toutes les parties d une transaction de vérifier facilement et rapidement l identité des autres participants. Il faut savoir que les sociétés de certification sont une entité humaine (une personne, un groupe, un service, une entreprise ou une autre association) autorisée par une société à émettre des certificats à l'attention de ses utilisateurs informatiques. Une SA fonctionne comme un service de contrôle des passeports du gouvernement d'un pays. Elle crée des certificats et les signe de façon numérique à l'aide d'une clé privée de SA. A l'aide de la clé publique de la SA, quiconque souhaite vérifier l'authenticité d'un certificat doit vérifier la signature numérique de la SA émettrice et, par conséquent, l'intégrité du contenu du certificat (essentiellement, la clé publique et l'identité du détenteur du Certificat) Un certificat numérique peut se présenter sous différents formats et contenir plusieurs informations Les informations minimales d un certificat La clé publique du détenteur du certificat Les informations du détenteur du certificat : il s'agit des informations portant sur l' «identité» de l'utilisateur, telles que son nom, son ID utilisateur, sa photographie, etc. La signature numérique, dont on a parlé précédemment du détenteur du certificat, également appelée auto-signature. La période de validité du certificat : dates/heures de début et d'expiration du certificat. L'algorithme de cryptage symétrique préféré pour la clé : indique le type d'algorithme de cryptage que le détenteur du certificat préfère appliquer au cryptage des informations. Ces informations peuvent varier selon la norme des certificats utilisés, notamment certains certificats autorisent plusieurs personnes à valider le même certificat Le concept de signatures multiples Certains certificats permettent à plusieurs personnes de signer une paire de clés/d'identification pour attester en toute certitude de l'appartenance de la clé publique au détenteur spécifié. Certains certificats sont également composés d'une clé publique avec plusieurs libellés, chacun offrant la possibilité d'identifier le détenteur de la clé différemment (par exemple, le nom et le compte de messagerie d'entreprise du détenteur, l'alias et le compte de messagerie personnel du détenteur, sa photographie, et ce, dans un seul certificat). La liste des signatures de chacune de ces identités peut varier. Les signatures attestent de l'authenticité de l'appartenance de l'un des libellés à la clé publique et non de l'authenticité de tous les libellés sur la clé. Différentes personnes vérifient à différents niveaux l'authenticité avant de signer une clé Le mécanisme de distribution de certificats Au-delà d'une certaine charge de communication, il est nécessaire de mettre en place des systèmes pouvant fournir des mécanismes de sécurité, de stockage et d'échanges de clés nécessaires pour communiquer. Car il est facile pour un petit groupe de s échanger des clés par émail, mais lorsqu il s agit de milliers de clients et

62 serveurs, la mise en place de systèmes de gestion de certificats est nécessaire. Ces systèmes peuvent se présenter sous la forme de référentiels de stockage uniquement, appelés serveurs de certificats ou sous la forme de systèmes structurés offrant des fonctions de gestion de clés, appelés infrastructures de clé publique (PKI). Le rôle d une PKI n est pas simplement le stockage. Elle permet de gérer l émission, la révocation (annulation avant échéance d un certificat), le stockage, la récupération et la fiabilité d un certificat. Un serveur de certificats, également appelé serveur de clés, est une base de données permettant aux utilisateurs de soumettre et de récupérer des certificats numériques. Un serveur de certificats offre généralement des fonctions de gestion permettant à une entreprise de soutenir sa politique de sécurité (par exemple, autoriser uniquement le stockage des clés répondant à des exigences spécifiques). Nous verrons dans la section suivante de quelles façons les procédés ci-dessus sont combinés pour élaborer des solutions de paiement électronique Etude de quelques solutions de paiement sécurisées Dans le système traditionnel du paiement par carte, chacun des éléments suivant à une fonction spécifique : Le numéro facial permet d identifier la carte et de vérifier son existence. Il n est pas confidentiel. Le code confidentiel permet de garantir que le titulaire a exprimé son adhésion au principe et aux modalités du paiement. La puce, par la mise en œuvre d algorithmes de chiffrement, permet de garantir la sécurité du processus de paiement. Dans l hypothèse d un paiement par l Internet fondé sur la seule communication du numéro facial, du nom du titulaire et de la date d expiration, l opération de paiement offre un degré de sécurité nettement moindre. Contrairement au paiement par code confidentiel, rien ne permet de considérer que le titulaire a exprimé son adhésion à l opération de paiement. Pour répondre à ce problème plusieurs solutions ont été mises en œuvre : Les protocoles nécessitant une authentification forte par les certificats et les signatures numériques L intervention d un tiers (au moins) pour des éléments de preuve, à qui sont transmises les données confidentielles pour qu ils fassent le paiement L utilisation d une carte bleue dont le numéro de compte virtuel est utilisable une seule fois avec un plafond défini. Nous allons étudier dans la partie suivante comment ces solutions sont mises en œuvre. Nous commencerons par étudier le mécanisme de paiement grâce à l unique utilisation des protocoles SSL et SET Paiement par carte bleu avec les protocoles SSL et SET Les protocoles de communication SET et SSL Internet utilisent conjointement les 2 modes de cryptographie comme l illustre la figure 2. Ils se servent d une clé publique et d une clé privée. La clé publique sert à garder secrète la clé privée et la clé privée sert à déchiffrer les messages. La clé privée n est générée qu une seule fois par le client qui se connecte à un serveur. Ce client transmet cette clé privée en la cryptant par le mécanisme de clé privée/public.

63 Fig. n 2 : utilisation conjointe de clé privé/public par SSL Lorsque le serveur reçoit le message, il le décrypte grâce à la clé publique et il y découvre la clé privée avec laquelle le dialogue va être chiffré durant toute la communication. Cette clé privée est appelée clé de session car elle n est utilisée qu une seule fois. Cette association des deux méthodes est née du désir d exploiter les avantages de chacune. Car si le système clé publique/clé privée s accorde mieux avec les problèmes que posent Internet (canal non sécurisé), il est lent et nécessite beaucoup de temps. Tandis que la cryptographie symétrique est très rapide. Nous allons donc voir dans le détail comment chacun des deux protocoles met en œuvre la communication La transaction avec le protocole SSL La transaction (= la vente) comprend la prise de commande, la saisie sécurisée du moyen de paiement, le déclenchement du paiement, et la réception du reçu électronique. La sécurisation du paiement se fait donc au cours de la transaction. SSL est un protocole mis au point par Netscape dans les années 1990, visant à assurer la sécurité (confidentialité, intégrité) des échanges entre 2 applications Principe : Consiste à établir un canal de communication sécurisé (chiffré) entre deux machines (client et serveur) après une étape d'authentification (du serveur). Une connexion SSL doit être initiée par le client (normalement un navigateur du Web) qui demande qu on lui envoie un document au moyen du protocole HTTPS [HyperText Transfer Protocol Secure] plutôt qu en utilisant le protocole normal HTTP [HyperText Transfer Protocol]. Repose sur la cryptographie à clé publique pour garantir la sécurité des transmissions (échange de clés privées) et sur la cryptographie à clé privée pour crypter les messages. Indépendant du protocole utilisé au niveau applicatif, permettant de sécuriser les mails POP3/SMTP, http, etc.. La sécurisation des transactions par SSL2.0 est basée sur un échange de clés entre client et serveur comme décrit ci-dessous.

64 Résumé du fonctionnement : Dans un premier temps, le client se connecte au site marchand sécurisé par SSL et lui demande de s'authentifier. Le client envoie également la liste des différents algorithmes cryptographiques qu'il supporte, triée par ordre décroissant selon la longueur des clés. Le serveur, à la réception de la requête, envoie un certificat au client, contenant la clé publique du serveur, signée par une autorité de certification (CA), ainsi que le nom du crypto système le plus haut dans la liste avec lequel il est compatible (la longueur de la clé de chiffrement - 40 bits ou 128 bits - sera celle du crypto système commun ayant la plus grande taille de clé). Le client vérifie la validité du certificat (donc l'authenticité du marchand), puis crée une clé secrète aléatoire (plus exactement un bloc prétendument aléatoire), chiffre cette clé à l'aide de la clé publique du serveur, puis lui envoi le résultat (la clé de session). Le serveur et lui seul est en mesure de déchiffrer la clé de session avec sa clé Limites du protocole SSL : Permet d authentifier le serveur Web du marchand et pas le marchand lui-même. Ne permet pas d authentifier le porteur de la carte de crédit. Les données de paiement peuvent être transmises directement au marchand. C est la raison pour laquelle la solution qui confie la gestion de la transaction à un tiers a été imaginée avec le protocole SET La transaction avec le protocole SET Cette transaction est basée sur SSL, à la différence que le protocole SET permet également au marchand de demander l authentification de l utilisateur au moyen de certificats numériques. Ainsi, il est plus difficile d utiliser une carte de crédit volée avec SET. Le protocole SET comporte également l avantage, de ne pas donner aux marchands l accès aux numéros de cartes de crédit des clients, éliminant ainsi une autre source de fraude. Principe de la transaction SET : Elle permet l'échange sécurisé de numéros de cartes de crédit via Internet. Supporté à l'origine par MasterCard, Visa et d'autres industriels, elle permet d'assurer la sécurité des transactions financières : Chaque utilisateur et marchand se voit doté d'un certificat numérique l'identifiant de manière unique sur Internet SET permet d'identifier clairement et sûrement l'émetteur du paiement, à la différence de SSL qui n'identifie que des applications SET utilise donc le protocole SSL seulement pour le chiffrement des données bancaires Il inclut deux types d informations privées dans une seule transaction signée numériquement : L information destinée à la banque est chiffrée à l aide de la clé publique de la banque alors que l information destinée au marchand est chiffrée à l aide de la clé publique du marchand. Ainsi, le marchand n a pas accès aux détails de la carte de crédit du client. En plus de ce chiffrement, les deux ensembles d informations sont signés numériquement. Enfin, les deux signatures sont combinées pour produire une seule signature qui ratifie l ensemble de la transaction.

65 Résumé du fonctionnement : Le client doit ouvrir un compte bancaire MasterCard ou Visa dans une banque. Le client reçoit un certificat numérique qui inclut une clé publique et une date d expiration associée. Le marchand reçoit les certificats de la part de la banque. Ceux-ci incluent la clé publique du marchand et celle de la banque. Le client passe commande sur une page Web, par téléphone ou un autre moyen. Le navigateur Web du client confirme que le marchand est le bon à partir du certificat du marchand signé par la banque. Le navigateur envoie les informations de commande. Cette requête est chiffrée avec la clé publique du marchand, les informations concernant le paiement sont chiffrées avec la clé publique de la banque (qui ne peut pas être lue par le marchand) de manière à assurer que le paiement ne peut être utilisé que pour cette commande. Le marchand vérifie l identité du client en analysant son certificat électronique. Ceci peut être fait en demandant vérification de l identité auprès de la banque ou d un tiers de confiance. Le marchand envoie la notification de commande à la banque. Ceci inclue la clé publique de la banque, les informations de paiement du client (que le marchand ne peut pas déchiffrer) et le certificat du marchand. La banque vérifie l identité du marchand et de la transaction. Elle utilise la signature numérique du certificat et vérifie la partie paiement du message. La banque signe numériquement l autorisation et l envoie au marchand, qui peut désormais traiter la commande ainsi validée. Limites de la transaction avec SET : Bien que le protocole SET ait un potentiel énorme, il n est pas encore très utilisé. Cette lenteur s explique surtout par l acceptation généralisée du SSL ainsi que par : La complexité et le coût du système SET. Le Déploiement du SET : une transaction SET typique comporte l échange de renseignements privés entre un client et un marchand (comme les articles commandés), et un autre échange d information privée entre le client et la banque (comme le numéro de carte de Crédit du client). La non-disponibilité à large échelle (navigateur). L investissement : certification, matériel et logiciel (client, marchand et passerelle de paiement). En définitive, SET est fait pour assurer le paiement par carte bancaire sur Internet avec les 4 garanties qu un système de sécurité peut fournir tandis que SSL est plus général et il s applique à toute transaction (financière ou pas) qui nécessite un minimum de sécurité. Elle assure la confidentialité mais elle ne garantit pas toujours l authentification du client qui se prétend propriétaire d une carte de crédit. Ces moyens ayant tous des limites, il a fallu imaginer d autres solutions pour permettre de contrecarrer les limites de ces protocoles Les moyens de paiement par prépaiement : La e-carte bleu. Pour effectuer un paiement avec l utilisation de la carte bleu, Le client saisie et envoie ses coordonnées bancaires en SSL en général. Cependant, le principal problème dans ce cas est l interception des données. En effet, même s il est très difficile avec l utilisation du protocole SSL d intercepter des données sans en être le destinataire, cela reste possible dans certaines conditions, notamment si l utilisateur ne vérifie pas avec attention le certificat fourni par le site de la banque lors de la transaction SSL. C est ainsi qu un individu peut fabriquer une copie quasi identique du site d une grande banque et manipuler

66 l utilisateur ou le site marchand pour rediriger la requête originale vers ce site au lieu de l authentique, en utilisant SSL. Le seul moyen viable dans ce cas pour s assurer de l authenticité du site visité est de vérifier la validité du certificat SSL, signé par un tiers de confiance. Cependant, de nombreux utilisateurs n ont pas les connaissances nécessaires pour l effectuer correctement ; la plupart ne savent d ailleurs même pas comment cette étape fonctionne. Malgré la sécurité octroyée par les protocoles de paiement, ils subsistent des limites, la principale étant l impossibilité de garantir que les informations transmises ne seront pas interceptées. C est la raison pour laquelle d autres moyens de paiement ont été imaginés. Ces moyens utilisent en plus des protocoles d autres procédés complémentaires tels que l utilisation d un tiers de confiance ou de multiples canaux simultanément (téléphone, , fax, courrier postal, carte bancaire virtuelle). Malgré tous les procédés utilisés afin d assurer la confidentialité, l authenticité et l intégrité des données transmises par Internet, les procédures de sécurité devraient faire partie des usages des internautes et des entreprises. En effet, une des plus grandes portes d entrée pour le piratage ne se situe pas dans le transfert des renseignements, mais bien dans la sécurité protégeant l accès aux serveurs internes des entreprises, où tous les renseignements personnels et les numéros des cartes de crédit sont conservés. Les failles ne sont donc pas souvent technologiques, mais peut-être humaines. C est pour cette raison que nous allons voir de quelles façons les protections juridiques constituent une sécurité supplémentaire pour les paiements électroniques.

67 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 3. Aspect Juridique Dans un contexte où la relation de face à face physique n existe pas, mais où pourtant les transactions financières sont quand même établies, il s est avéré très important de codifier les relations et de protéger les parties concernés. C est la raison pour laquelle au cours des dernières années les textes juridiques concernant le commerce électronique se sont enrichi de nouveaux règlements Pourtant, le recours à une solution de paiement sécurisé, ne fait pas disparaître tous les problèmes pour le commerçant mais les minimisent simplement. En cas de fraude, le commerçant sur Internet ne bénéficie pas en effet de la même protection que son client comme nous l expliquons dans la section qui suit La situation du client Le texte applicable en la matière est la loi sur la sécurité quotidienne (art.34 à 44). En cas d utilisation frauduleuse de sa carte, le client ne peut voir sa responsabilité engagée que dans des hypothèses limitées Principe : le client n'est pas responsable Dans toutes les autres hypothèses, le client ne supportera au maximum que 150 Euros pour toutes les dépenses intervenues frauduleusement avant son opposition. Pour toutes les opérations intervenues après son opposition, il sera dégagé de toute responsabilité. Le texte prévoit en plus deux cas où sa responsabilité est expressément exclue : Quand sa carte a été contrefaite et que, lors de l opération contestée, le client était en possession physique de sa carte. Quand le paiement contesté a été effectué frauduleusement, à distance et sans utilisation physique de la carte (paiement effectué par la simple fourniture du numéro de votre carte bleue et de sa

68 date d expiration). Dans ces deux cas, le client victime de la fraude pourra contester, par écrit, avoir effectué un paiement ou un retrait. L émetteur de la carte devra alors re créditer le compte du client du montant des sommes contestées. A défaut, il devra lui restituer ces sommes, sans frais, au plus tard dans le délai d un mois à compter de la réception de la contestation du client. Le délai de contestation appartenant au client est obligatoirement compris entre 70 et 120 jours à compter de la date de l opération contestée. On peut enfin remarquer que, dans tous les cas, l émetteur de la carte rembourse à son titulaire la totalité des frais bancaires que ce-dernier aura supporté Exception : deux hypothèses de responsabilité En cas de perte ou de vol de sa carte, le client ne verra sa responsabilité engagée que dans deux hypothèses : Quand il aura commis une négligence, par exemple, en laissant son code confidentiel dans la pochette qui contenait sa carte ; Quand il n aura pas fait opposition dans les meilleurs délais (ce délai est fixé par le contrat conclu entre le client et sa banque mais ne peut pas être inférieur à 2 jours francs). Dans ces deux cas, le client supportera la perte ou le vol de sa carte sans limite financière alors qu en principe, il ne doit supporter qu une somme maximum de 150 Euros (plafond en vigueur au 01/01/2003). Article 30 : Sous réserve des dispositions de l article 25 de la présente loi, le consommateur peut se rétracter dans un délai de 10 jours ouvrables, courants : - à compter de la date de leur réception par le consommateur, pour les marchandises,- à compter de la date de conclusion du contrat, pour les services. La notification de la rétractation se fait par tout moyen prévu préalablement dans le contrat. Dans ce cas, le vendeur est tenu de rembourser le montant payé au consommateur dans les 10 jours ouvrables à compter de la date de retour des marchandises ou la renonciation au service. Le consommateur supporte les frais de retour des marchandises La situation du commerçant Nous sommes dans l hypothèse où le commerçant a été payé au moyen d une carte volée ou d une carte falsifiée. Le commerçant se trouve alors dans une situation délicate. Comme nous l avons dit plus haut, la plupart du

69 temps, le titulaire de la carte de paiement pourra obtenir de l émetteur (la banque) de sa carte qu il crédite son compte. Symétriquement, les sommes qui ont été initialement créditées seront ensuite débitées au commerçant. Que peut exiger le commerçant de l intermédiaire financier qui a offert une solution de paiement sécurisé? Rien de moins, et surtout rien de plus, que ce qui figure dans le contrat. Le plus souvent, ces dispositions ne seront pas favorables au commerçant et ce sera lui qui supportera seule les risques d un paiement frauduleux. Il semble donc à la vue des textes actuels que la seule issue soit un recours contre le fraudeur. Le problème est alors d'obtenir les preuves : il faut pouvoir d identifier clairement le fraudeur, il sera alors possible d obtenir la condamnation de ce dernier au paiement des sommes litigieuses ou au moins à la restitution des marchandises vendues si elles n ont pas été revendues d ici-là. Techniquement, une telle identification paraît difficile : l adresse de livraison des produits sera généralement une fausse adresse. Article 29 : Le vendeur doit fournir au consommateur, à sa demande, et dans les 10 jours suivant la conclusion du contrat un document écrit ou électronique contenant l ensemble des données relatives à l opération de vente. Finalement, l expression de «paiement sécurisé» doit être comprise différemment selon que l on est commerçant ou client. Les clients jouissent d une protection efficace et, de ce point de vue, le législateur semble en passe d atteindre son objectif : développer la confiance des consommateurs dans le commerce électronique. Mais les commerçants en ligne, eux, n auront pour toute protection, que celle accordée par le contrat qu ils auront conclu avec leur intermédiaire financier ; A côté de la protection des acteurs du commerce électronique, les textes juridiques permettent également de codifier les relations et les transactions entre clients et internautes en mentionnant des règles souvent implicites Les caractéristiques légales Les caractéristiques d'ordre légal du paiement électronique sont diverses. Elles sont regroupées sous trois catégories, soit les caractéristiques de sécurité, les caractéristiques de confidentialité et finalement les modalités du paiement électronique L'aspect sécuritaire La question de sécurité est celle à laquelle les internautes sont les plus sensibles. La Sécurité sur Internet semble illusoire puisque la caractéristique principale du réseau est qu'il s'agisse d'un réseau ouvert. C'est pourquoi la sécurité sur Internet réfère automatiquement au cryptage des données. Seulement aucun système de cryptographie n est inviolable. En effet, il est important de garder à l'esprit qu'aucun système d'encryptage n'est infaillible. Tout comme des documents de papiers peuvent être forgés ou de la monnaie

70 contrefaite, un système cryptographique pourra être percé. Le degré de sécurité ou de fiabilité du système de paiement électronique n'affecte pas la légalité de celuici comme tel. Néanmoins, les lacunes sur le plan de la sécurité font en sorte que le paiement pourra être facilement contesté par l'une ou l'autre des parties. Ainsi, le mécanisme de paiement doit d'abord être en mesure de garantir l'existence des intervenants, soit celle du débiteur, du créancier et des intermédiaires s'il y a lieu. Celle-ci présuppose la collaboration d'autorité de certification. L'identification des intervenants est donc très importante. Le vendeur et le client ont intérêt à vérifier la qualité de l'autre partie, surtout lors d utilisation de signature électronique. Cette identification pourra être effectuée au moyen des clés privées de cryptage. Les normes de cryptage utilisées lors des échanges prendront également une importance considérable. Par ailleurs, en matière électronique, toutes ces étapes se réalisent dans un délai très court. Ainsi, le paiement électronique prend une dimension toute particulière sur le réseau Internet puisqu'il jouera fréquemment le rôle de consentement à l'acte juridique. De là l'importance toute particulière de s'assurer de l'identité des parties. La pratique du règlement d'achat par simple communication du numéro des cartes bancaires et de la limite de validité permet des paiements frauduleux, le fraudeur pouvant trouver le numéro sur une facturette ou un ticket abandonné de guichet automatique bancaire. Cette pratique est sanctionnée potentiellement par le délit d'escroquerie (art du Code pénal). En l'absence d'un code confidentiel ou d'une signature, conformément à la directive européenne n 97/7/CE du 20 mai 1997 concernant la protection des consommateurs dans les ventes à distance, des clauses spécifiques sont prévues dans le contrat liant les entreprises de vente par correspondance et leurs banques (v. Rép. Min. Ec, 18 octobre 1993). Les sites marchands doivent assurer l'entière responsabilité des conséquences dommageables directes ou indirectes de tout débit erroné donnant lieu à contestation et ce sans limitation de durée. Le risque de fraude pèse donc sur les sites marchands et non sur les titulaires de cartes bancaires, à condition que ceux-ci vérifient soigneusement leur relevés de débit. Par ailleurs, selon le moyen de paiement utilisé, le mécanisme devra être en mesure de garantir l'authenticité de l'argent. En effet, peu importe le mode de paiement utilisé, celui-ci doit pouvoir garantir au créancier la valeur du bien qui lui est transmis en paiement. L'authentification de l'argent, autrement dit l authentification du possesseur de l argent est un problème qui prend une dimension particulière en matière de paiement électronique. Par la suite, le mécanisme devrait être également en mesure de garantir l'authentification et l'intégrité du paiement lui-même. Une telle mesure pourra être effectuée encore une fois par le cryptage. La garantie d'intégrité est un des aspects les plus importants en matière de sécurité. Le message transmis ne devra en aucun cas être susceptible d'avoir été modifié ou altéré après son émission, que ce soit par un tiers ou une des parties à la transaction. Cette dernière question d'authentification du paiement et d'intégrité du message vise essentiellement à assurer la stabilité des transactions étant effectuées sur le réseau Internet en empêchant la répudiation de celles-ci. En fait, les quatre éléments recherchés sont, la confidentialité, l authentification des parties, le nonrépudiation et l intégrité des données. C est de ça que découlent confiance et fiabilité qui ne sont eux-

71 mêmes que des éléments subjectifs. La question de sécurité du mécanisme de paiement rendue possible grâce à la cryptographie touche de près la préoccupation de la protection des renseignements personnels L'aspect confidentialité Au niveau de la confidentialité, rappelons qu il y a le droit à la vie privée. Notamment, on retrouve des dispositions à cet effet dans le Code civil du Québec ainsi que dans la Charte québécoise. Or, le paiement est un acte qui implique habituellement la communication de renseignements divers. Cette récupération d'information permet la constitution de dossiers. Plusieurs commerçants ou autres organismes convoitent d'ailleurs ce genre d'information pour créer des registres et établir des profils de consommateur. Ces renseignements cadrent précisément dans la notion de renseignement personnel. A ce niveau, rappelons que la Loi sur la protection des renseignements personnels dans le secteur privé définit le renseignement personnel comme suit : Est un renseignement personnel, tout renseignement qui concerne une personne physique et permet de l'identifier En conséquence, les règles visant la protection des renseignements personnels et du respect de la vie privée trouvent leur pleine application. À ce niveau, le principe de base est énoncé à l'article 37 du Code civil du Québec qui stipule : Toute personne qui constitue un dossier sur une autre doit avoir un intérêt sérieux et légitime à le faire. Elle ne peut recueillir que les renseignements pertinents à l'objet déclaré du dossier et elle ne peut, sans le consentement de l'intéressé ou l'autorisation de la loi, les communiquer à des tiers ou les utiliser à des fins incompatibles avec celles de sa constitution ; elle ne peut non plus, dans la constitution ou l'utilisation du dossier, porter autrement atteinte à la vie privée de l'intéressé ni à sa réputation. Les lois et projets de lois sur la protection des renseignements personnels ont en commun de tenter de réglementer les renseignements personnels sous trois chapitres, en l'occurrence la cueillette des renseignements, l'utilisation des renseignements et la conservation de ceux-ci. L'entrée en vigueur de la Loi sur la protection des renseignements personnels dans le secteur privé a eu un effet bénéfique sur la protection de la vie privée des individus. En revanche, lorsqu'on parle du réseau Internet, le problème prend immédiatement une dimension internationale. La première constatation est alors le problème de sanction. Or, il est bien connu que ce problème de sanction peut rendre une loi stérile. La protection doit viser tant l'anonymat du consommateur que ses renseignements bancaires. Si la confidentialité des renseignements bancaires semble une évidence pour tous, il en va très différemment de la question de l'anonymat du consommateur. À ce niveau se confrontent les positions des autorités qui désirent prohiber l'anonymat complet des transactions sur Internet en vue d'empêcher la prolifération de la criminalité sous forme de blanchiment d'argent. De l'autre côté, les tenants de l'anonymat défendent

72 farouchement le droit des individus à la protection de leur vie privée Les modalités du paiement électronique Les modalités du paiement électronique sont les mêmes que celles du paiement traditionnel, adaptées au contexte du réseau Internet. En ce qui a trait à l'identité du payeur, l'intermédiation ne pose aucun problème puisqu'un tiers peut effectuer le paiement au créancier au nom du débiteur. Le destinataire demeure cependant le créancier ou son mandataire. Quant au lieu de paiement, il est désigné expressément ou implicitement par les parties. Dans le cas de transaction sur le réseau Internet, nous sommes d'avis qu'il est implicitement convenu que le lieu du paiement se situe à l'adresse indiquée par le commerçant. Ainsi, le paiement sur Internet serait implicitement portable. Les frais de paiement seront toujours supportés par le débiteur. Or, d'importants frais peuvent survenir lorsqu'un intermédiaire surgit entre le débiteur et le créancier pour compléter la transaction. Qu'on se situe dans le domaine électronique ou traditionnel, le débiteur conserve toujours son droit d'obtenir une quittance lorsqu'il effectue son paiement. Au niveau pratique, la quittance prend habituellement la forme d'un simple reçu. Néanmoins, en matière de transaction électronique, le reçu ou la quittance est fréquemment mis de côté. Légalement, les mécanismes de paiement devraient prévoir l'envoi d'un reçu par courrier électronique confirmant la transaction et contenant une description du bien ou du service acheté ainsi que le prix payé par le consommateur. Finalement, le consommateur recherche, que ce soit en matière de transaction électronique ou traditionnelle, d'abord et avant tout un paiement libératoire. En fait, pour pouvoir obtenir un paiement libératoire (non contraignant pour le consommateur) sur Internet, le consommateur devra utiliser certains modes de paiement traditionnels, comme le paiement par carte de crédit ou le virement de fonds pour être libéré de son obligation. La protection juridique est donc un moyen de rassurer les clients qui pourraient être freinés par le niveau d insécurité transactionnelle jugé élevé. Mais cette protection ne suffit pas toujours à inciter l achat en ligne. Des moyens supplémentaires sont donc mis en œuvre non seulement pour rassurer le client par un ensemble de procédés psychologiques mais aussi par des procédés assurant l archivage.

73 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 4. Confiance et Archivage Bien que certains sites marchands utilisent des moyens techniques pour sécuriser leurs sites, le client n est pas en mesure de le contrôler, en tant que néophyte sur les technologies d Internet. Dans une première partie, nous allons définir quels sont les moyens techniques et organisationnels que le marchand devrait mettre en place sur son site pour rassurer le client. En effet, généralement dans la conception du site, le chef de projet ne se soucie pas de la psychologie du client. De même nous ferons par la suite un point sur l archivage des données personnelles ou transactionnelles. Nous allons identifier les éléments à archiver, les acteurs et les protocoles mis en place pour la gestion des archives électroniques La confiance dans le paiement électronique La question de la confiance du paiement sur l Internet est primordiale à la fois pour l acheteur et le vendeur. D une part, le consommateur a besoin d être rassuré face à l usage d outils informatique et technique qu il ne maîtrise pas forcément. D autre part, le professionnel a besoin de solutions de paiement efficaces, rapides et fiables permettant au consommateur de réaliser de la manière la plus fluide possible son acte d achat. Cette angoisse de l acheteur se reflète parfaitement dans les divers chiffres publiés. Ainsi selon une étude menée par le Credoc montre que le pourcentage de paiement en ligne diminue. il est passé de 48%, en 2001 à 35% en 2005 :

74 Fig. n 1O : Evolution de la sécurité du paiement sur Internet Le recul des paiements en ligne est lié à plusieurs facteurs Les Freins liés à la confiance Tout se passe sur un site web comme dans n'importe quel autre contexte commercial ou plus largement, d'échange entre deux personnes. Le point de rencontre entre l'offre et la demande ne suffit pas pour générer l'accord entre les deux volontés, c'est-à-dire la vente. Le facteur psychologique de la confiance doit être présent chez chacune des deux parties. Le problème est que les chemins qui mènent à la confiance ont toujours été complexes, bien avant Internet, Car Internet présente des caractéristiques qui compliquent la tâche des marchands et celle de l'internaute: Ø Des repères de confiance mal définis : contrairement à tout autre lieu physique, Internet n'a pas encore véritablement créé ses habitudes et coutumes reconnus de tous, qui pourraient permettre aux internautes d'évaluer le degré de confiance à affecter à un site. Ø Parallèlement, les marchands ne disposent pas encore d assez de recul pour adopter intuitivement sur le web le comportement synonyme de confiance que les internautes attendent d'elles. Il n'y a pas encore de culture du e-commerce permettant à tous de se repérer facilement. Un principe de méfiance est donc bien établi. Ø Pour la plupart des internautes, le web est un nouveau média très utile, mais dont il convient de se méfier s'il s'agit d'y faire transiter des informations personnelles. La méfiance est le principe. Les internautes ne sont pas des gens comme les autres! Monsieur X peut bien avoir confiance en son banquier, lorsqu'il devient internaute, il se méfie du site de sa banque. Les marchands pensent que les internautes se comportent vis-à-vis d'elles sur Internet comme hors d'internet. Elles se trompent. La vision que l'internaute a de l'entreprise, lorsqu'il visite son site, est obtenue au travers du prisme d'internet. Il est bien conscient que les informations qu'il va confier au site qu'il visite passeront par Internet. S'il perçoit Internet comme un réseau insécurisé, le fait qu'il ait une image positive et rassurante de cette entreprise hors Internet ne modifiera pas cette donnée. Puisque, pour visiter ce site, les données passent nécessairement par Internet, et qu'internet n'est pas sûr, le site n'est pas sûr.

75 Le média modifie le comportement de l'utilisateur. S'il perçoit le média comme peu sûr, il prendra avec méfiance les informations qu'il y trouve et agira avec la plus extrême prudence à l'égard des propositions d'interactivité qui lui sont faites par le site. Le plus souvent, il s'abstiendra. C'est ce comportement des internautes français, pas toujours conscients, qui bloque le dynamisme du e-commerce dans ce pays Définition et moyens Dans un contexte numérique, certains auteurs définissent la confiance comme la disposition du consommateur à croire en la capacité du vendeur à offrir le bien ou le service aux conditions établies. La définition précédente illustre bien la relation entre l environnement et la confiance qui doit nécessairement exister entre un acheteur et un vendeur sur le Net lorsqu un acheteur doit prendre le risque de commercer avec un inconnu. Le développement du commerce électronique dépend largement de la croissance d Internet et de la confiance, que se témoignent mutuellement les différents acteurs. Comment les marchands peuvent-ils surmonter ces difficultés? Tout d'abord en comprenant ce comportement, puis en utilisant tous les moyens à leur disposition. Les trois véhicules de la confiance : une fois compris le mécanisme psychologique qui bloque le comportement actif de l'internaute, le marchand dispose des moyens suivants pour générer la confiance nécessaire au passage à l acte La technique Tous les sites de commerce électronique devraient proposer un niveau de sécurité assez élevé pour l'ensemble des données personnelles que l'internaute peut leur confier. Les entreprises doivent donc progresser pour atteindre cet objectif. Le site devrait indiquer son niveau de sécurité et donner le moyen au client, de le vérifier dans son navigateur. Il pourra également proposer une assistance pour par exemple vérifier la compatibilité du navigateur avec le niveau de sécurité ou mettre à jour son navigateur. Moins de 20% informent de façon pédagogique les internautes sur la sécurité qu'ils garantissent. Il devrait également indiquer comment les informations(personnelles et de transactions) sont cryptées lors de leur passage sur le réseau, quel niveau sécurité est garanti par le site? 40 bits? 56 bits? 128 bits? Si les mesures techniques suivantes sont assez fiables et bien mises en place par le marchand ceci pourrait être une première étape pour rassurer et le mettre en confiance le client Les contenus Certains contenus que le marchand place sur son site peuvent le rapprocher de l'internaute s'ils l'aident à le situer sur son échelle de valeurs. Certaines informations, sur l entreprise, doivent être présentent sur le site afin de rassurer le client. L identité du marchand doit être relevée avec son adresse, numéro Siret, numéro de téléphone si possible. L identité des personnes gérant le site ainsi que leurs compétences, et comment les contacter directement. Les informations juridiques du site doivent être claires et rédigées dans un jargon compréhensible,

76 elles doivent être aux avantages des deux parties : client et marchand. Le site devrait également, respecter toutes les lois définies par la CNIL sur le droit d auteur de consommation de la vie privée, etc. Le marchand doit donner les engagements en cas de problème, il doit prévoir tous les cas et donner les délais de réponses assez courts. Le marchand devrait également préciser ces valeurs, préciser une appartenance à un groupe de spécialistes dans le domaine dans lequel il travaille et les accords signés pour accomplir cette tâche dans la légalité. Les contenus doivent également prévoir tous les cas de figure, toutes les questions de tous les internautes, et si un client contacte un responsable du site, la relation devra être personnalisée afin d être plus proche du client ce La conception du site (design, ergonomie) Les pixels répartis sur les pages du site de l'entreprise peuvent produire pour l'internaute un état de confiance ou, à l'inverse, confirmer sa méfiance. La qualité du design est donc un critère fondamental pour l'établissement de la confiance. Le design comme instrument de la confiance doit être entendu au sens large : Architecture : L'organisation des contenus rassure le client. Le marchand devrait donner toutes les informations dont le client a besoin avant qu il ne s engage. Par exemple, pour un produit commander le prix de la livraison devrait être affiché avant d exiger aux clients de donner toutes ses coordonnées. Ergonomie : les fonctions de navigation dans le site doivent être simples et intuitives. Le site doit être simple à utilisé et ne doit pas être truffé de gadgets inutiles et compliqués. 17 % des sites web utilisent une ergonomie qui masque les informations de sécurité du navigateur. Les entreprises doivent renoncer à ces gadgets ergonomiques et s'en tenir à des interfaces simples et faciles à utiliser. Si les marchands créent des sites Internet compliqués à utiliser alors que les clients préfèrent des sites simples, c'est certainement que les premières ne tiennent pas compte de la psychologie des seconds. Le décalage entre les clients et les marchands révélés par notre étude sur la sécurité transactionnelle montre que cette attitude n'est pas limitée au design mais bien présente dans l'ensemble du projet, de la technique jusqu'aux contenus, en passant par le design. C'est une réelle ingénierie de la confiance qu'il s'agit de mettre en place à tous les échelons du projet. Chaque décision doit être analysée au regard de son effet sur la confiance des internautes. Qu'il s'agisse de la définition des contenus, de leur production ou de leur implémentation via la technologie ou le design, les paramètres qui impactent la confiance sont nombreux et déterminent, en dernier ressort, la réussite et la rentabilité du projet. Il importe que : Les décideurs prennent conscience de l'importance de l'établissement de la confiance pour l'accroissement de la rentabilité de leur site, Les responsables de projet intègrent des critères de qualité et des processus de contrôle qui tiennent réellement compte de la psychologie de l'internaute. Cette ingénierie doit se concentrer sur le "lien" que le marchand doit créer avec chaque client pour qu'il préfère acheter ou, plus largement, agir sur son site Internet plutôt qu'ailleurs. Elle implique un pilotage stratégique du projet qui place les facteurs humains avant la technologie Cas pratique : comment vérifier la sécurité d'une page?

77 La sécurisation d une page Web peut se vérifier en un clin d œil dans le navigateur. Une page est sécurisée si son adresse commence par HTTPS au lieu de http. Un simple coup d'oeil sur l'url de la page dans la barre d'adresse permet donc d'en avoir confirmation. Si la barre d'adresse est masquée, l'adresse de la page est visible en affichant les propriétés de la page ("bouton droit - propriétés" dans Internet Explorer ou "Informations sur la page" dans Netscape). Pour avoir confirmation de la sécurité, un cadenas s'affiche dans Internet Explorer ou se ferme dans Netscape. Dans Internet Explorer, en passant la souris sur cette icône, la taille de la clé s'affiche et un double-clic affiche les informations sur le certificat. Pour afficher les certificats 128 bits, votre navigateur doit être capable de les lire. Vérifiez la version de celui-ci (Aide - A propos de - etc.) et le niveau de cryptographie qu'il sait prendre en compte. S'il est en cryptographie "standard", téléchargez la mise à jour qui permet de prendre en compte le cryptage à 128 bits. Afin de pourvoir régler certains conflits en cas de contestation d un paiement électronique, l archivage des documents et également indispensable. Dans cette prochaine partie, nous allons vous décrire ce que c est qu un archivage sans parler des outils techniques mises en œuvre qui pourraient faire l objet d une étude Point sur l archivage Electronique L archivage, qu il ne faut pas confondre avec la sauvegarde, consiste à mettre en place des actions, des outils et des méthodes pour conserver à moyen et long terme des informations sélectionnées dans le but de les exploiter. Les données doivent être non seulement structurées, indexées et conservées sur des formats appropriés à la conservation et à la migration, mais il faut prévoir leur restitution et leur accessibilité dans un contexte technologique changeant. L'archivage est indispensable. Il sert à effectuer des recherches et permet par exemple d'apporter la preuve des paiements en cas de contestation. Mais il pose un réel problème de sécurité. Le plus grand risque que court un commerçant est de ne pas protéger les données relatives à un paiement ou de ne pas s'assurer de leur protection si elles sont traitées par un tiers. Il faut donc être attentif à la protection des sites et dans le cas de sous-traitance à un tiers (banque, société de services), aux clauses contractuelles sur ce point. Une collection de numéros de carte peut être particulièrement alléchante pour un hacker. Il y trouve des identifiants de cartes en circulation et non opposées qu'il peut utiliser, voir diffuser (comme ce fut le cas en 1999 chez un grand marchand de disques en ligne américain, CD Universe). Les données stockées par les prestataires doivent être conservées et dupliquées, si possible en deux lieux distincts. La conservation des données répond également à des exigences légales de délais conformes à l'utilisation des différents moyens de paiement Les éléments mis en œuvre pour l archivage Nous présenterons le cas échéant, différents scénario de communication lorsqu'une organisation fait appel aux services d'un «tiers archiveur» dans le cadre de la mise en œuvre d un système d archivage électronique garantissant l intégrité, la pérennité et la restitution des messages.

78 L archivage met en scène les objets suivants : 1. Des éléments électroniques à archiver. 2. Des acteurs. 3. Des protocoles d échanges. Les éléments électroniques à archiver Les éléments à archiver sont constitués au minimum de messages électroniques ainsi que de leur signature électronique. On entend par message, tout type de fichier informatique, notamment les fichiers de données sonores, graphiques ou multimédia, les programmes, les messages structurés et non structurés. Les acteurs Deux catégories d acteurs sont identifiées : L émetteur d un message et son destinataire, l un et l autre ou les deux, archivant le message en fin d échange. Ces acteurs sont appelés "donneur d ordre". Le "tiers archiveur", auquel le donneur d ordre confie soit l archive, soit la clé des archives. Selon la taille de l entité professionnelle du donneur d ordre, le tiers archiveur peut être interne ou externe à cette entité. Les protocoles d échanges Les protocoles d échanges sont ainsi caractérisés : Deux protocoles sont utilisés dans le scénario : - Un protocole d archivage (transmission des éléments à archiver du donneur d ordre vers le tiers archiveur), - Un protocole de dés archivage ou de restitution (transmission des éléments dés archivés du tiers archiveur vers le donneur d ordre). Les protocoles présentent des mesures de sécurité spécifiques aux échanges électroniques Gestion des archives électroniques La gestion des archives, entre le donneur d ordre et le tiers archiveur, est généralement faite de quatre scénarios : 1. Envoi des archives à un «tiers archiveur» 2. Envoi d'une clé des archives à un tiers archiveur (les archives sont conservées par le donneur d'ordre) 3. Retour des archives au donneur d'ordre. 4. Retour d'une clé des archives au donneur d'ordre. A côté du donneur d'ordre et du tiers archiveur, d'autres personnes peuvent être amenées à intervenir

79 dans le scénario d'archivage afin de renforcer les questions de preuve en cas de litige et de garantir la sécurité des échanges électroniques. Les personnes, à ce jour, identifiées, qui tiennent leur pouvoir de l'une et de l'autre ou seulement de l'une des parties à l'échange électronique, sont : le tiers horodateur L'horodatation qui repose sur un ensemble de techniques permet de s'assurer qu'un document électronique a été créé, signé, demandé ou consulté à une certaine date et heure. Dans la mesure où le système d'horodatation mis en place doit pouvoir servir de preuve en cas de litige, il est nécessaire que la datation des messages échangés soit fiable, précise, protégée et reconnue par les partenaires à l'échange. La mission comme l'étendue de la responsabilité du tiers horodateur sont définies dans un contrat de prestation de services qui le lie au donneur d'ordre et au tiers archiveur. le tiers certificateur Le tiers certificateur comme le tiers horodateur, le tiers certificateur tient son pouvoir des parties et non de la loi. En sa qualité d'intermédiaire choisi par les parties pour sa neutralité et son indépendance, le tiers certificateur a pour mission de contrôler et garantir la sécurité des échanges électroniques et de fournir des preuves en cas de litige. les autres «tiers archiveurs» Le tiers archiveur peut être conduit à confier à un autre tiers archiveur la réplication des dites archives. Il peut être également envisagé que pour faire face à une réserve insuffisante en capacité de stockage, le tiers archiveur conclut avec un autre tiers archiveur un contrat de partenariat afin d'assurer sans discontinuité la prise en charge des éléments électroniques arrivants Cumul des fonctions Si le recours à un tiers, indépendant des parties, semble en effet le meilleur moyen de renforcer la validité des échanges électroniques et donc la sécurité juridique des parties en cas de litige, il convient néanmoins de s'interroger sur la faisabilité ou non du cumul de ces fonctions. Tiers archiveur/tiers horodateur. Il peut être envisagé que le tiers archiveur puisse également assurer les fonctions de tiers horodateur. Mais la présence d un tiers indépendant renforce l'efficacité des preuves en cas de litige. Tiers archiveur/tiers certificateur. Le tiers certificateur ayant notamment pour mission de garantir la sécurité des échanges électroniques, il apparaît que celui-ci doit être totalement indépendant des parties à ces échanges et ne peut donc cumuler ses fonctions avec celle de tiers archiveur ; Tiers horodateur/tiers certificateur. En revanche, il n'existe pas d'obstacle majeur à ce qu'un tiers certificateur assure également les fonctions de tiers horodateur ; Autres tiers archiveur Le contrat d'archivage dépend des besoins exprimés par l'entreprise, donneur d'ordre. L'entreprise doit donc, préalablement, mener une réflexion sur ses besoins réels. Pour une bonne cohérence dans l'utilisation de l'information, la politique d'archivage doit être globale au niveau d'une entreprise ou d'un groupe de sociétés.

80 Deux questions doivent notamment être posées. Le marchand doit d'une part, s'intéresser au motif de l'archivage. L'archivage répond-il à de simples impératifs pratiques d'exploitation? ou s'inscrit-il dans le cadre d'une obligation légale d'archivage?. A cette occasion le marchand doit s'interroger sur l'utilisation future des archives. Les données, une fois archivées seront-elles exploitées par la seule entreprise ou devront-elles constituer un moyen de preuve lors de la survenance d'un différend éventuel (contrôle fiscal, instance judiciaire, etc.) En effet tout ne peut pas et ne doit pas être archivé. Il convient de procéder à des évaluations et des tris de données. La confidentialité et le caractère éventuellement stratégique des données à archiver doivent être pris en compte. Plus la durée de conservation est longue, plus les coûts associés sont importants. CONCLUSION La généralisation d Internet a permis au commerce électronique de se développer et de devenir une grande source d achat. Nous avons vu que l une des craintes majeures sinon la seule qui demeure est celle de la sécurité des transactions qui freine encore certains internautes. Afin de mettre en confiance ces derniers plusieurs moyens de paiements ont été mis au point les uns plus émérite que les autres. Ces mécanismes techniques dont le socle fondamental est la cryptographie, ont octroyé une sécurité convenable mais non pas su, seuls, répondre à tous les problèmes de sécurité. C est la raison pour laquelle des idées ingénieuse ont été associé aux procédés techniques pour renforcer le degré de sécurité c est le cas du tiers payeur ou de la e-carte bleu qui minimise les possibilités d interception de données confidentielles. A coté de moyens techniques, des moyens juridiques permettant non seulement de codifier les relations entre les marchands et commerçants, mais aussi de protéger ceux-ci ont dû être inventé afin de limiter les abus dans un contexte ou les relations de face à face physique n existent pas. Toujours à cause de ce contexte, plusieurs facteurs psychologiques permettant de créer une relation de confiance sont inventés chaque jour par les marchands afin de rassurer sur le degré de sécurité des sites, et par là même, d inciter les internautes à l achat. Sur le même ordre d idée, des méthodes d archivages utilisant des protocoles spécifiques sont également mises en œuvre par les hébergeurs de sites web afin de garantir au client l accès aux données personnelles et la conservation de celles-ci de façon sécurisée, afin d éviter toute exploitation ou interception abusive. Tous ces mécanismes combinés ont contribué à conquérir une grande partie des internautes. Ils ont surtout apportés au client un degré de sécurité considérable autant sur le plan humain que technique. Mais l évolution rapide de la technologie permet toujours aux internautes mal intentionnés de trouver des moyens de tirer profit d Internet. En effet sur le plan technique, de nouvelles techniques d interception de données sont élaborés continuellement, sur le plan psychologique et juridictionnel de nouveaux subterfuges sont inventés pour abuser du contexte «virtuel» Or les lois n évolue pas au même rythme que la technologie, mais naissent suite à l expérience malencontreuse d un internaute et sont très souvent du ressort de la jurisprudence. Il est donc très important pour les internautes d utiliser le paiement sur Internet en vérifiant toutes les conditions techniques, juridiques, psychologique et d archivage qui lui sont promis par le marchand et le tiers. Cette vérification complète et pas seulement partielle permet également de verrouiller la sécurité.

81 Il ressort également de ce mémoire que compter uniquement sur les protections techniques conférées par les sites web ne garantie pas un degré de sécurité optimale même si ces protections sont optimales. Il est important pour l internaute de protéger l accès à son ordinateur, à son réseau et de vérifier les conditions de transaction de stockage et d archivage de ses données personnelles. La sécurité ne doit cependant pas devenir une obsession car malgré toutes les précautions possibles la seule façon d être certains d être en sécurité est de fermer son accès au réseau Internet.

82 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont WEBOGRAPHIE Guide de l archivage électronique : Association IALTA France : Infrastructure Apte à lier les Tiers Certificateurs et autres Autorités : Commerce Electronique Comment créer la confiance : comment créer la confiance invite les entrepreneurs et les webmestres à revoir les règles du jeu en présence dans le monde du commerce : Rapport du groupe de travail n 4 : L'e-consommateur et la confiance " Sceaux - Certification des sites de commerce électronique - Codes de conduite : Mission pour L économie Numérique :

83 Rapport de l observatoire de la cyberconsommation Rapport de M. Jean-Pierre VIERLING présenté au nom de la Commission du commerce intérieur et adopté par l Assemblée générale du 13 avril Sécurité des moyens de paiement sur Internet Paiement électronique : analyse fonctionnelle

84 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont WEBOGRAPHIE Guide de l archivage électronique : Association IALTA France : Infrastructure Apte à lier les Tiers Certificateurs et autres Autorités : Commerce Electronique Comment créer la confiance : comment créer la confiance invite les entrepreneurs et les webmestres à revoir les règles du jeu en présence dans le monde du commerce : Rapport du groupe de travail n 4 : L'e-consommateur et la confiance " Sceaux - Certification des sites de commerce électronique - Codes de conduite : Mission pour L économie Numérique :

85 Rapport de l observatoire de la cyberconsommation Rapport de M. Jean-Pierre VIERLING présenté au nom de la Commission du commerce intérieur et adopté par l Assemblée générale du 13 avril Sécurité des moyens de paiement sur Internet Paiement électronique : analyse fonctionnelle