Management et Productivité des TIC

Transcription

1 Module D02 Management et Productivité des TIC Paiement électronique et sécurisation des échanges 0 - Introduction 1 - Etat des lieux 2 - Plan technique, la sécurité transactionnelle 3 - Aspect juridique 4 - Confiance et archivage Téléchargement du chapitre Exercices QCM Bibliographie Gérard-Michel Cochard cochard@u-picardie.fr Damaris Bassama bassdamaris@yahoo.fr Lise Lefeuvre lefeuvrelise@yahoo.fr Marlyse Thiermont

2 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur : Gérard-Michel Cochard 0 - Introduction Systèmes de paiement électronique Le paiement électronique est fortement contraint par les questions de sécurité que l'utilisation d'internet implique. La méthode actuelle universelle de paiement "à distance" est l'utilisation de la carte bancaire l'acheteur (payeur) communique au vendeur (payé) son nom, son numéro de carte et sa date d'expiration le vendeur communique ces informations à sa banque (à l'aide d'un boîtier TPE) qui crédite le compte du vendeur de la somme correspondante. la banque du vendeur sera remboursée ultérieurement par la banque de l'acheteur si l'acheteur ne s'y oppose pas entre temps. Le procédé paraît simple. Effectivement, il pose 5 difficultés l'acheteur doit faire confiance au vendeur qui pourrait compter une dépense supérieure à la dépense réelle. Signalons toutefois que l'acheteur a 90 jours pour manifester son désaccord et annuler l'achat. les informations relatives à la carte bancaire sont transmises en clair et il y a donc le risque d'interception par un pirate. le vendeur doit contracter un contrat VPC (vente par correspondance) auprès de sa banque ce qui permet le point 2 du processus. La banque perçoit une commission allant de 0,7 à 1,5% du montant de la transaction. la garantie du paiement n'est pas assurée ; on peut toutefois livrer que lorsque l'acheteur sera débité. les paiements de petites sommes (inférieures à 10 ) ne sont pas possibles car les banques ne les acceptent pas pour les paiements par carte bancaire.

3 Examinons comment on peut améliorer le système décrit plus haut. Cryptage Les navigateurs actuels (comme Netscape ou Internet Explorer) sont généralement dotés d'un logiciel de cryptage/décryptage appelé SSL (Secure Socket Layer). Bien entendu, côté vendeur, il faut interpréter les caractéristiques bancaires codées ce qui est effectué par les "serveurs marchands". On peut aussi utiliser des logiciels spécifiques de cryptage qui sont complémentaires au navigateur et qu'il faut évidemment charger sur son ordinateur (Kleline, Cybercash,...). On peut aussi utiliser des dispositifs hardware comme des lecteurs de carte associés à l'ordinateur. C'est certainement la meilleure solution car elle permet d'authentifier l'acheteur qui peut entrer son code secret le lecteur local opère la vérification. Malheureusement, ces périphériques sont à acheter car ils ne sont pas encore composants standards de l'ordinateur. Passage par un tiers spécialisé Le processus de paiement implique l'intervention d'un prestataire spécialisé dans la monétique. L'acheteur opère comme dans le cas standard choix d'un produit, saisie d'informations non confidentielles (nom, adresse,...), communication cryptée (SSL) des informations bancaires. Au niveau du vendeur, le site marchand est équipé d'un logiciel qui renvoie de manière transparente les informations bancaires cryptées vers le serveur de paiement du prestataire spécialisé qui vérifie ces informations, la validité de la carte, la solvabilité de l'acheteur, l'acceptation de la banque du vendeur et retourne, s'il n'y a pas de problème, une confirmation au site marchand. Celui-ci peut alors procéder à la livraison. Ce service de prestataire libère le vendeur des contraintes de vérification il y a externalisation du point 2 du processus standard. En France, deux sociétés offrent leurs service de "serveur de paiement" Sligos (système SIPS) et SG2 (système Payline). Bien entendu, ces prestataires se font rémunérer pour leurs services par la vente du logiciel à installer sur le site marchand et par une commission sur chaque transaction Le porte monnaie électronique Ce dispositif est prévu pour des achat d un montant maximal de 30 (micro-achats). Le principe est de stocker une somme d'argent dans un serveur bancaire (virtual wallet) ou dans une carte à puce (e purse). A chaque transaction, le montant est diminué du montant de la transaction. Plusieurs systèmes sont concurrents Mondex, Digicash, Kleline, Cybercash,... Normalisation Comme on peut le voir, il existe de nombreux systèmes qui, évidemment, ne sont pas tous compatibles. Il devient donc important d'imposer une normalisation à tous ces systèmes. C'est ce que proposent SET (Secure Electronic Transaction), e-comm ou C-Set. SET est le fruit de la collaboration de nombreuses sociétés MasterCard, Netscape, Visa, Microsoft, IBM,... et porte sur les cartes bancaires et la sécurisation des paiements. Les objectifs de SET sont

4 assurer l'authentification des détenteurs de cartes, des commerçants, des banques assurer la confidentialité des données de paiement préserver l'intégrité des données du paiement. Ces objectifs sont concrétisés par trois logiciels Portefeuille du porteur de carte (wallet), activé par le navigateur du poste acheteur Serveur de paiement commerçant, activé par le serveur Web du vendeur Serveur de paiement pour la banque acquéreur, activé pour les échanges entre le vendeur et la banque du vendeur et situé sur le serveur de la banque. La procédure SET consiste, pour l'acheteur, à se faire reconnaître comme un "bon payeur" par une "autorité certifiante" ou "tiers de confiance" qui lui délivre un certificat. Ce certificat est transmis, en cas d'achat, au vendeur qui peut, à son tour, se mettre en rapport avec l'autorité certifiante pour vérifier le certificat et assurer le paiement. C-SET, d'origine purement française et soutenu par les banques françaises et la Poste est compatible, par un système de traducteurs, avec SET. Il implique l'utilisation d'un lecteur de carte à puce chez l'acheteur. e-comm, développé par plusieurs banques françaises également, est un ensemble de spécifications pour combiner la carte à puce et SET. Enfin, Cyber-Comm est la conjonction de C-SET et de e-comm.

5 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 1. Etat des lieux Avec la généralisation d Internet, le commerce électronique est une réalité incontournable dont l ampleur ne cesse de s étendre. Le marché virtuel est en pleine explosion, et même si les problèmes de sécurité, de gestion, d adaptation, et d utilisation sont encore nombreux, ils tendent à être résolus ou contournés. Le commerce électronique s est développé et la question d un paiement électronique sécurisé s est posée, car les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier. Il a donc fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne, pour les particuliers et les professionnels. L enjeu du commerce électronique est donc de trouver des modes de paiements sûr et idéalement infaillibles, faciles d utilisation et acceptés du grand public permettant aux acheteurs de se sentir en sécurité. Un tel enjeu nécessite de sécuriser les transactions et de normaliser les sites d e-commerce mais aussi de protéger les informations délivrées par le client, en encadrant les modes de conservation et d archivage de ces informations et en protégeant les droits de chaque partie. Il existe de ce fait plusieurs moyens mis en œuvre que ce soit sur le plan technique, juridique, psychologique pour protéger les parties concernées par le paiement électronique. Nous présenterons dans ce document ces moyens en quatre parties. Dans la première partie nous allons établir un état des lieux des différentes méthodes de paiement électronique existantes, en indiquant leurs utilisations actuelles. Dans une seconde partie, nous préciserons les mécanismes de sécurité transactionnelle en expliquant notamment les concepts se rattachant à la cryptographie et aux protocoles. Nous aborderons dans une troisième partie les points juridiques qui protègent les acteurs du commerce électronique et qui codifient leurs relations. Puis nous terminerons par les autres mécanismes psychologiques qui pourraient inciter les internautes à acheter et qui sont basés sur la confiance. Le commerce électronique connaît actuellement une très forte croissance du à plusieurs raisons. Dans un premier temps, la démocratisation de l accès à Internet, l évolution des modes d achats des consommateurs ainsi que la facilité, la diversité et la rapidité des achats pour le client. De plus la réduction des coûts et la flexibilité qui arrange le marchand. Comme nous l avons dit en introduction, les transactions électroniques ne peuvent se réaliser avec de l'argent traditionnel en papier, pour cela, il a fallu trouver des mécanismes de paiement adaptés à ce nouveau contexte d achat en ligne. Voici une liste non exhaustive des moyens de paiement, les plus utilisés, existant sur Internet Les méthodes de paiement

6 Il existe actuellement plusieurs modes de paiement électronique : Par courrier électronique, le client n'a plus besoin de communiquer avec l'entreprise par téléphone. En effet, après avoir fait parvenir par Internet sa commande, le client reçoit un numéro de facture. Il doit alors envoyer son numéro de carte de crédit ainsi que ce numéro de facture par le biais du courrier électronique. Cependant, l'envoie d'informations concernant une carte de crédit par courrier électronique n'est pas conseillé dû au risque d'interception. Le système Sympass, outil reposant sur le principe du double clavier : celui de l ordinateur et celui du téléphone. Lors d un achat en ligne, l internaute saisit uniquement les 8 premiers numéros de sa carte ainsi qu un numéro de téléphone. Il reçoit alors immédiatement un appel téléphonique d un service vocal lui demandant de saisir sur son clavier téléphonique les 8 derniers chiffres. Le porte-monnaie électronique : La Porte-Monnaie Electronique sur carte à puce : Monéo : Ce système repose sur la présence d un support physique, une carte à puce équipée d un microprocesseur pouvant être chargée avec une valeur monétaire permettant d effectuer des achats. Cependant il est nécessaire que l utilisateur dispose d un lecteur de carte relié à son ordinateur. Le Porte-Monnaie Electronique Prépayé : Paynova, qui offre à tout consommateur la possibilité d ouvrir un porte-monnaie virtuel pouvant être utilisé sur divers sites Internet. L utilisateur devra indiquer son nom et prénom ainsi qu une adresse courrier, pour créditer son compte par carte bancaire. Lors de l achat sur Internet, le consommateur choisira parmi les solutions de paiements proposés par le commerçant, l outil Paynova. Il devra alors se connecter sur son portemonnaie virtuel pour procéder au paiement. L intérêt pour le marchand est d avoir une garantie du paiement : l argent est disponible dans le porte-monnaie du client, et ce dernier est authentifié lors de la transaction. Le Porte-Monnaie Electronique Post-Payé : Click&Buy. L internaute lors de son inscription fournit une seule fois ses informations bancaires, consomme les contenus et services chez les marchands, puis est débitée une fois par mois du montant global de ses dépenses. Le Micro paiement : Les Kits de connexion ou Dialers sont des outils qui servent à rémunérer des contenus immatériels de faible montant (par exemple, une sonnerie, un logo, etc.) avec une livraison immédiate. Les règles déontologiques du CST (Conseil Supérieur de la Télématique) limitent le recours à ces outils aux cas de rémunération de contenus Internet. Pour les dialers, il existe deux catégories, ceux renvoyant vers un numéro surtaxé français (Auditel, Kiosque Micro, etc.) et ceux renvoyant vers des numéros internationaux. Les services vocaux à tarification majorée : il en existe deux types différents. Mode d obtention d un code par le truchement d un service vocal à tarification majorée, permettant à l utilisateur de pouvoir consulter le contenu numérique (par exemple pour consulter un modèle de lettre de motivation sur Internet). Le système Allopass, très connu, utilise ce type de service. Mode d obtention d un code en deux temps, en premier l internaute relève le site sur lequel il veut récupérer un code, par la suite il appelle un service à tarification majorée auquel il indique le code par le clavier téléphonique. (par exemple : Audiotel Décroché) Cela lui permettra d accéder à la partie réservée sur le site le temps de la communication avec le service(par exemple obtenir un code d accès à l espace de conception d une carte de voeux virtuelle). Les SMS + permet aux détenteurs d un téléphone mobile, soit de recevoir directement sur le mobile un contenu commandé par SMS surtaxé (par exemple logo, sonnerie, etc.), soit d obtenir, par retour SMS, un code permettant d accéder à un contenu sur Internet (comme pour Audiotel). Le Porte-Monnaie virtuel (PMV), par exemple MONEY TRONIC (système de paiement de la Caisse d Epargne) : c est un système qui s adapte plus au paiement en ligne que le porte-monnaie électronique car il ne nécessite pas de support physique. Il est chargé depuis sa carte de crédit et est rempli en fonction des besoins du client qui utilisera l argent virtuel qu il contient pour payer ses achats sur Internet. C est en fait un compte où on dépose de l argent, qui peut par la suite être dépensé sur les sites de commerce en ligne qui acceptent MONEY TRONIC.

7 La solution ID TRONIC, c est un système (mis en place par la Caisse d Epargne) qui permet à l internaute d acheter avec une carte bancaire sans en donner le numéro. Pour pouvoir bénéficier de ce service, l internaute client ou non de la Caisse d Epargne doit s inscrire (en ligne, par téléphone ou par courrier) en indiquant son RIB et ses coordonnées. Il doit également confier un numéro de téléphone portable. Par exemple, lors d un achat, l utilisateur rentre soit le code d accès fourni lors de son inscription, soit son adresse de courrier électronique. Un SMS lui est alors envoyé sur son téléphone mobile, lui indiquant un mot de passe à saisir sur l écran de paiement en ligne. Le paiement sera alors confirmé et l identité de l utilisateur authentifié. Par la suite le paiement est effectué entre le marchand et la banque. Les chèques électroniques, par exemple Financial Services Technology (FSTC) et Netchex. FSCT s apparente à la version papier, Le client disposerait ainsi d un livret de cheques électroniques qui serait délivré au travers d un site Web ou attaché au courrier électronique (avec signature électronique). Par contre Netchex fait intervenir un intermédiaire auprès duquel l utilisateur et le commerçant devront s enregistrer. Toutefois ce nouveau moyen de paiement est difficilement transposable en Europe dans la mesure ou l émission et l utilisation de chèques fait l objet d une réglementation très stricte en comparaison du système américain. La e-carte Bleue, ce système est une solution qui doit remédier aux problèmes de la transmission des informations bancaires nominatives sur le réseau (mondial). Ce procédé permet d associer des coordonnées bancaires temporaires (à usage unique) à un compte réel, qui seront transmises sur le réseau, en lieu et place des informations persistantes sur la carte bancaire. L avantage étant que même si les coordonnées bancaires temporaires sont interceptées, il n y aura aucun impact sur la sécurité du compte réel. Paypal est un système de paiement en ligne qui utilise les adresses pour identifier l expéditeur et le destinataire d un paiement et qui passe par le réseau international des cartes bancaires pour effectuer le paiement. Le paiement est initié depuis le compte Paypal de l acheteur et arrive sur le compte Paypal du vendeur. Ainsi aucun des deux partis n a besoin de communiquer avec l autre. Visa Direct permet aux utilisateurs d envoyer de l argent aux porteurs de carte Visa. Visa Direct a été lancé afin de faciliter les paiements transfrontières de faible montant entre les particuliers. Pour effectuer un virement, l expéditeur peut utiliser différents canaux (Internet, agence bancaire, banque à domicile). Plusieurs moyens de transferts sont possibles tels que l adresse de courrier électronique ou le numéro de compte du bénéficiaire. La somme virée est alors directement versée sur le compte courant du bénéficiaire. Le paiement à partir d outils physiques, certains acteurs français proposent aux consommateurs des produits de paiement en ligne reposant sur des supports physiques, par exemple sous forme de cartes prépayées. Trois acteurs proposent de telles solutions : Kertel (filiale de Iliad), EasyCode et Néosurf. Le principe est commun à l ensemble des solutions : l internaute acquiert dans un point de vente (les bureaux de Poste ou les débitants de tabac par exemple), une carte chargée d un montant prédéterminé. Sur cette carte figure un ou plusieurs codes que le consommateur devra indiquer lors de son achat en ligne. Le rétro-paiement : le «cash-back» permet à un internaute de gagner de l argent lors de ses achats. A chaque achat, une partie du montant payé lui est, en effet, reversé par virement ou chèque bancaire, voire mis à sa disposition pour acquérir biens et services sur des sites partenaires. Ce phénomène de «rétro-paiement» est en pleine expansion en France où trois acteurs cohabitent sur ce marché (EbuyClub, CashCash et CashStore.fr) L utilisation des différents modes de paiement L année 2004 a encore constitué une année de forte progression du commerce électronique. D après la FEVAD (Fédération des Entreprises de Vente A Distance) publié le 20 janvier 2005, les ventes en ligne ont augmenté de plus de 53% par rapport à l année précédente. L ACSEL (Association pour le Commerce Et les Services en Ligne), quant à elle, indiquait en février 2005 une hausse de 65% du chiffre d affaire du commerce électronique français pendant la même période, ce dernier ayant dépassé le seuil symbolique des 2 milliards d euros. Le panier moyen de l internaute se situe aujourd hui autour de 54 euros, celui-ci achetant de plus en plus régulièrement. Dans un tel contexte, la question du paiement sur l Internet est primordiale à la fois pour l acheteur et le vendeur. D une part, le consommateur a besoin d être rassuré face à l usage d outils informatique et technique qu il ne maîtrise pas forcément. D autre part, le professionnel a besoin de solutions de paiement efficaces, rapides et fiables permettant au consommateur de réaliser de la manière la plus fluide possible son acte d achat. Cette angoisse de l acheteur se reflète parfaitement dans les divers chiffres publiés. Ainsi selon une étude menée par le Credoc :

8 Fig. n 1 : Evolution de la sécurité du paiement sur Internet Néanmoins, une fois le pas franchi, le taux d usage des cartes de paiement est particulièrement important. Selon la FEVAD : Fig. n 2 : Répartition des méthodes de paiement sur Internet en 2005 Les Français sont de plus en plus nombreux à effectuer des achats sur internet. Ainsi 47% des internautes ont réalisé au moins un achat en ligne (39% en 2004), selon une étude de Médiamétrie/NetRatings et de la Fédération des entreprises de vente à distance. Plus en détail, voilà certaines indications sur la répartition de l utilisation de quelques modes de paiement sur Internet : Quelques chiffres Champ d application Avantages/inconvénients PAYPAL 86 millions d'utilisateurs à travers le monde Présence d un tiers

9 E-Carte Bleue transactions /semaine, 5000 porteurs / semaine Plus de utilisateurs 1,4 millions de transactions pour un montant total de 110 millions d euros Plus de marchands Acceptés par presque tous les marchands Taux de refus très bas Sympass 25 marchands français ou étrangers Plus de transactions /jour utilisateurs atteint en l espace de 20 mois nouveaux utilisateurs/ mois. 38% des utilisateurs y ont eu recours plus de deux fois au cours du trimestre, 20% plus de quatre fois ID TRONIC 2 millions d euros d achat et aucune fraude Un taux d usage 10 fois supérieur à celui de la e-carte Bleue ( transactions enregistrées par ID Tronic pour sites) Cette solution permet également d acheter par l ensemble des sites internationaux Met en oeuvre la solution 3D-Secure Micro-Paiement électronique ` Moneo Panova aux Etats-Unis, 1,6 milliards de dollars en 2003 et 1,8 milliards de dollars en 2004, soit une progression de 13,7% Les analystes estiment qu il représentera en 2007, 5,5 milliards de dollars aux USA et 2,37 milliards d euros en Europe soit une progression de plus de 40% par an (due principalement aux secteurs des jeux en ligne, de la musique ou de la vidéo à la demande) En ,2 millions de portemonnaie chargés points de paiement installés et paiements réalisés /semaine comptes et 500 cybermarchands en Europe 20 marchands français proposent cette solution de micro-paiement, pas forcément de manière exclusive Aujourd hui, le secteur du paiement de petites sommes, le micropaiement, est très diversifié : achat d articles de presse, de sonneries de portable, de logos permettant de personnaliser son téléphone, achat de morceaux musicaux sur les plates-formes payantes, de jeux en ligne, etc. S adresse principalement aux PME qui peuvent avoir des difficultés à convaincre les banques pour obtenir un contrat de «vente à distance» Intéresse les cybermarchands saisonniers (clubs, lobbying, associations), les spécialistes des «

10 Allo pass Plus de sites internent français ont recours à ces solutions de paiement et leur nombre ne cesse de progresser petits prix» (sonneries) Ces solutions séduisent plus les particuliers ou les petits éditeurs de site à la recherche d une solution de paiement facile à installer Néanmoins, cette forme de paiement en ligne demeure relativement marginale auprès des grandes enseignes au regard du commissionnement institué (prélèvement de 30% par l opérateur téléphonique) Bien que diversifiée, cette liste de paiements électroniques ne recense pas tous ceux existant actuellement. Il faut savoir que la diversité de ces moyens de paiement vient du besoin pour les marchands, de fournir des mécanismes de paiement simplifié et sécurisé. Ce sont ces mécanismes techniques que nous allons expliquer dans la partie suivante et qui fondent la sécurité des transactions commerciales.

11 Paiement électronique et sécurisation des échanges version modifiée le 27 septembre 2006 auteur(s) : Damaris Bassama, Lise Lefeuvre, Marlyse Thiermont 2. Plan Technique : la sécurité transactionnelle L enjeu du commerce électronique est celui d'acquérir la confiance des consommateurs pour développer le marché. Mais la confiance en matière de transaction électronique transite principalement par la sécurité du mécanisme de paiement, or deux vulnérabilités méritent en particulier d être soulignées : La vérification de l identité des parties impliquées dans les transactions : L absence d identification forte et mutuelle créée des risques de fraudes importantes La protection de l ordinateur personnel des clients : celui-ci est, en général, peu protégé contre, par exemple, les tentatives externes de prise de contrôle de la machine, les attaques par des virus ou le chargement non sollicité ou non contrôlé de logiciels à partir de l Internet. Le manque de sécurité des instruments de paiement constitue un frein certain à la décision d achat sur Internet. C est la raison pour laquelle des protocoles de paiements sécurisés utilisant la cryptographie sont mis en place Les protocoles et procédés de paiement sécurisés Les principaux protocoles Les protocoles de sécurité établissent des mécanismes de communication qui garantissent la confidentialité des données. Ils existent plusieurs protocoles mais nous allons nous intéresser ici à deux protocoles particulièrement reconnus. Le protocole SSL (Secure Sockets Layers)

12 Consiste au cryptage des informations sensibles pour les rendre incompréhensibles de ceux qui ne disposent pas des éléments nécessaires pour les décrypter. Dans ce cas, lors d un paiement sécurisé les informations bancaires du client parviennent directement au marchand sous forme cryptées. Le protocole SET (Secure Electronic Transactions ) Utilise le protocole SSL avec en plus la particularité d identifier de manière précise le possesseur de la carte de crédit. De plus, ce protocole confie la gestion de la transaction entre le vendeur et l'acheteur à un intermédiaire (comme une banque par exemple). Ceci a l avantage d éviter au consommateur de communiquer au site marchand, son numéro de carte bancaire. Un mécanisme de paiement sécurisé confié à un tiers est apprécié également par le vendeur car ce procédé le dégage de toute responsabilité en cas de piratage de ces numéros, puisqu il n a accès à aucun moment aux données bancaire du client. Le protocole SSL via un organisme bancaire est un compromis entre les deux précédents : la gestion des paiements se fait via l Extranet proposé par la banque et l acheteur envoi ainsi directement ses informations bancaires sur le site de la banque du marchand. Le marchand ne voit jamais transiter les numéros de carte bancaire et informations associées. Ce en quoi il ressemble au protocole SET. Mais il lui reste toujours une faille par apport à ce dernier, c est que le marchand n a aucune garantie concernant l identité du client car l utilisation de certificats électroniques permettant d identifier aussi le client et pas seulement le marchand n est pas pris en compte par SSL. Nous allons dans la section suivante décrire les procédés techniques utilisés par ces protocoles, pour garantir et assurer la fiabilité des transactions. Les procédés permettant de garantir la sécurité transactionnelle lors des paiements électroniques doivent apporter quatre principales garanties aux utilisateurs (marchands comme clients) : L authentification : ce procédé permet d une part aux clients d être certains que les marchands à qui ils confient les renseignements sur leur carte de crédit sont réellement ce qu ils prétendent être. D autre part au marchand, de vérifier que le client est le vrai propriétaire de la carte de crédit. L intégrité des données : ce procédé permet de s assurer que le message n a pas été modifié par un tiers durant la transmission La non-répudiation : cette fonction empêche les clients ou les marchands de nier qu ils ont reçu ou émis un message donné. La confidentialité : cette fonction empêche les tiers de lire des messages interceptés. Toutes ces garanties ne peuvent être apportées que par la combinaison de plusieurs procédés. Concrètement, la confidentialité consiste en un cryptage/décryptage des données échangées par le navigateur de l'internaute et le serveur du marchand. Lorsque cette sécurité existe, le navigateur impliqué dans cette opération peut en informer l'internaute en affichant, le plus souvent, l'icône d'un cadenas fermé qui indique également la taille de la clé de cryptage [algorithme permettant de rendre une information intelligible] utilisée. Cette icône étant produite par le navigateur, il n'existe pas de faille connue permettant de la falsifier : elle est le reflet exact de la sécurité transactionnelle utilisée pendant l'échange des données de la page en cours. Il est donc possible à tout internaute de vérifier le niveau de sécurité d'un site simplement avec son navigateur. Mais à la cryptographie, se joignent d autres procédés permettant d identifier avec plus de précision

13 et de fiabilité les interlocuteurs c est la signature numérique et la certification. Nous étudierons donc dans cette partie la cryptographie qui est le socle de tous procédés de sécurité car elle est garante de la confidentialité mais aussi, la signature numérique et la certification qui la complète pour garantir les 3 autres critères d une transaction sécurisée La cryptographie Crypter une information revient à la rendre incompréhensible par ceux qui ne possèdent pas le procédé de décodage. C est un procédé mathématique à la base mais qui est utilisé en informatique sur les réseaux non sécurisés comme Internet, pour crypter les messages, afin qu'aucune personne autre que le destinataire ne puisse les lire. Le dialogue se passe alors ici entre les machines. Le décryptage qui est l opération inverse permet au destinataire du message de déchiffrer le message qui lui est destiné. Voici un schéma illustrant bien ce mécanisme : Fig. n 3 : Mécanisme de cryptage et décryptage Le processus de cryptage et de décryptage nécessite l utilisation de deux outils : Un algorithme de cryptographie ou un chiffrement qui est une fonction mathématique. Une clé (un mot, un nombre ou une phrase) qui associé à cet algorithme va crypter le texte ou le décrypter. Voici une illustration de ce concept : Fig. n 4 : Cryptage avec clé et algorithme

14 La notion de clé Une clé est en fait une valeur utilisée dans un algorithme de cryptographie, afin de générer un texte chiffré. Les clés sont en réalité des nombres extrêmement importants, concrètement c est une suite de bit(0 et 1) qui forme un nombre. La taille d'une clé se mesure en bits et plus la taille des clés est importante plus elle est sécurisée. Actuellement, la réglementation fixe la taille maximale des clés à 128 bits. Il faut noter qu en deçà de ce nombre une clé est considérée comme vulnérable car plus il y a de bits, plus le nombre est grand, plus la tâche du pirate sera longue : il devra tester, un par un, toutes les combinaisons possibles jusqu'à trouver le nombre qui décrypte le message protégé. L'opération n'est donc pas complexe : elle demande seulement du temps et de la puissance informatique. En effet, si pour casser une clé de 40 bits, il suffit de tester 240 combinaisons, soit quelques milliards de possibilités, pour casser une clé de 128 bits, c'est 2128 combinaisons qu'il s'agit de tester : Aucun cas de cassage d'une clé de 128 bits n'a été révélé et le challenge reste les clés de 64 bits pour les pirates. La sécurité des données cryptées repose donc entièrement sur deux éléments : L invulnérabilité de l'algorithme de cryptographie (algorithme difficile à retrouver) La confidentialité de la clé Une seule clé peut être utilisée pour crypter et décrypter. Dans ce cas le destinateur communique la clé aux destinataires pour qu il puisse décrypter son message. C est la cryptographe à clé privée ou à clé symétrique La cryptographie à clé privée ou symétrique Dans ce cas, la clé doit être gardée secrète car elle permet de crypter et décrypter le message. Si elle est interceptée, le système s écroule. Voici une illustration de son mécanisme : Fig. n 5 : Mécanisme de la cryptographie à clé privé Utilité et limites Le cryptage conventionnel à clé privé comporte des avantages car il est très rapide. De plus, il s'avère particulièrement utile pour les données véhiculées par des moyens de transmission sécurisés. En effet comme on le voit dans le paragraphe suivant, il peut entraîner des coûts importants en raison de la difficulté à garantir la confidentialité d'une clé de cryptage lors de la distribution notamment sur les réseaux insécurisés comme Internet.

15 La clé privée doit être distribuée de façon confidentielle à tous les destinataires des messages pour qu il puisse les décrypter. Cette contrainte soulève plusieurs problèmes : Les risques de détournement de cette clé lors de sa distribution au destinateur notamment dans le cas de milliers de navigateurs et d un serveur qui échange leurs clés sur le réseau Internet pour crypter et décrypter leurs dialogues. Pour assurer la confidentialité, chaque expéditeur devrait fournir une clé différente, à chaque destinataire avec lequel il entend communiquer. Autrement chaque destinataire potentiel serait capable de lire tous les messages, qu ils lui soient destinés ou non. Une autre limite du chiffrement avec une clé secrète est l incapacité de cette méthode d assurer la non-répudiation. Étant donné que les deux parties ont la même clé, l une d entre elles peut créer un message avec la clé secrète partagée et soutenir que le message a été émis par l autre partie. S il est utilisé seul, le chiffrement avec une clé secrète ne convient donc pas au commerce électronique c est la raison pour laquelle la cryptographie à clé publique, utilisé par les protocoles de paiement électronique a vu le jour Cryptographie à clé publique ou asymétrique La cryptographie à clé publique utilisée par les protocoles SSL et SET est un procédé asymétrique utilisant une paire de clés pour le système de cryptage, dont l une sert à chiffrer les messages et l autre à déchiffrer les messages ou vice-versa. Voici une illustration de ce mécanisme : Fig. n 6 : Mécanismes de cryptage à clé publique Règles de sécurité Les deux clés sont reliées par une fonction mathématique Lorsqu un message est chiffré par une clé il ne peut être déchiffré que par l autre clé Il est impossible de déduire la clé privée à partir de la clé publique Le Récepteur communique sa clé publique à l émetteur L émetteur chiffre le message avec la clé publique puis l envoi Le récepteur déchiffre le message avec sa clé privée Voici une illustration de ce mécanisme :

16 Fig. n 7 : Rôle des utilisateurs dans le mécanisme de cryptage à clé publique Utilités et limites La cryptographie de clé publique présente un avantage majeur car l'expéditeur et le destinataire n'ont plus besoin de partager des clés secrètes via une voie de transmission sécurisée. Les communications impliquent uniquement l'utilisation de clés publiques et plus aucune clé privée n'est transmise ou partagée. L utilisation de clés permet de sécuriser le dialogue et donc de garantir la confidentialité des données. Mais ceci ne suffit pas à rassurer les internautes, car l identité de ceux avec qui le dialogue est établi et l intégrité du message qui leur parvient sont des points tout aussi importants à protéger. Un prétendu récepteur peut par exemple détourner une clé privée et récupérer les informations d un message alors qu il n est pas le récepteur attendu par l émetteur. Il peut disposer du message comme il veut et porter atteinte à l intégrité du message, puis le renvoyer aux émetteurs qui possèdent les clés publiques. La confidentialité du message est bien garantie ici, mais l intégrité ne l est pas, ni l authentification. Deux procédés de sécurité supplémentaires sont donc mis en place afin de garantir l intégrité des données ainsi que l identification et l authentification des émetteurs et récepteurs : c est la signature numérique et la certification La signature numérique Une signature numérique a la même utilité qu'une signature manuscrite. Cependant, une signature manuscrite peut être facilement imitée, alors qu'une signature numérique est pratiquement infalsifiable. Utilité et principe La signature numérique confère trois des quatre fonctionnalités d un mécanisme de sécurité : L intégrité des informations c est à dire qu elle permet de s assurer que le message n a pas été modifié. L'identification du signataire car elle permet de faire le lien avec l auteur. La non répudiation, car l'expéditeur ne peut prétendre qu'il n'a pas envoyé les informations.

17 La signature numérique à elle seule ne garantit en aucun cas la confidentialité des données. C est la raison pour laquelle elle est combinée avec les systèmes de cryptographie lorsque les quatre fonctionnalités d un mécanisme de sécurité sont recherchées. Dans le cas de figure où la confidentialité n est pas un critère prépondérant elle peut d ailleurs être utilisée avec du texte en clair. Elle atteste juste que l entité avec qui on dialogue est bien celle à qui on s attend et que le message n a pas été récupéré et modifié. Principe de la signature numérique La signature numérique s obtient en 2 étapes : Lorsqu on applique au message en clair une fonction de hachage, on obtient un élément de longueur définie à l avance appelé résumé de message. En outre, toute modification apportée aux informations entraîne un résumé complètement différent. Ensuite le résumé et la clé privée sont associés pour créer la «signature». Le message et la signature sont transmis au récepteur. Le message peut-être crypté ou pas. Voici une illustration de ce mécanisme : Fig. n 8 : Génération d une signature numérique Pour vérifier la signature, c est-à-dire que le contenu du message est conforme au message attendu et

18 que l émetteur du message est bien celui qui nous a donné une clé publique, il suffit de réaliser l opération inverse. C est-à-dire d appliquer d une part la fonction de hachage au texte en clair luimême pour obtenir le «résumé du message» et d autre part d appliquer à la signature la clé publique correspondante pour obtenir également le «résumé du message». Si les deux condensés sont les mêmes, alors la signature correspond bien au message reçu. Voici une illustration du procédé de vérification : Fig. n 9 : Vérification d une signature numérique Si une fonction de hachage sécurisée est utilisée, il est impossible de récupérer la signature d'un document pour la joindre à un autre document ou d'altérer un message signé. La moindre modification apportée à un document signé entraîne l'échec du processus de vérification de la signature numérique. La signature numérique est souvent utilisée pour valider des documents tels que les certificats dont on parlera en détail plus loin. Dans ce cas le document est en clair et la signature numérique est opposée au bas du document avec une fonction de hachage permettant de retrouver le résumé du message fourni. En appliquant la clé publique à la signature d une part et la fonction de hachage au message en clair d autre part. On retrouve alors un résumé du message comparable à celui qui est fourni au bas du document. Si les deux résultats sont similaires («résumé du message») en tout point, on en conclut que le document provient bien de l émetteur dont on a la clé publique. Cependant la signature numérique a ses limites car rien n atteste que celui qui nous donne la clé publique n a pas détourné la clé privé correspondante et se fait passer pour quelqu un qu il n est pas afin de soutirer des informations. En réalité, la seule façon de garantir que la clé publique obtenue est celle du destinataire qu on attend c est d accepter uniquement les clés distribuées physiquement, car l identité de l émetteur serait vérifiée. Mais dans la réalité d Internet où le dialogue se fait avec des milliers de serveurs, ce procédé est inapplicable mais un autre mécanisme similaire allant dans le même sens est utilisé : c est la certification qui va permettre de confirmer qu une clé appartient réellement à l interlocuteur qui la distribue La certification Utilité et principe Le certificat à la fonction qu un passeport aurait dans le monde matériel car il comporte des

19 informations qui identifie l auteur d une clé et déclare qu une autre personne a confirmé cette identité. Il a une valeur juridique même s il se sert de la cryptographie (signature numérique). Il contient des informations (associées à la clé publique d'une personne), aidant d'autres personnes à vérifier qu'une clé est authentique ou valide. Il permet de contrecarrer les tentatives de substitution de la clé d'une personne par une autre. Renforcer l authentification en utilisant des certificats numériques, entraîne d avoir recours à un tiers de confiance ou à une société d authentification (SA) Le principe de la certification par un tiers Ce mécanisme nécessite d avoir recours à un tiers de confiance ou à une société d authentification (SA). Les détenteurs de clés publiques les soumettent à une SA accompagné d une preuve d identité, et la SA appose sa signature numérique certifiant ainsi que la clé publique jointe au certificat appartient à la partie stipulée. Les certificats numériques constituent un des fondements des opérations électroniques protégées puisqu ils permettent à toutes les parties d une transaction de vérifier facilement et rapidement l identité des autres participants. Il faut savoir que les sociétés de certification sont une entité humaine (une personne, un groupe, un service, une entreprise ou une autre association) autorisée par une société à émettre des certificats à l'attention de ses utilisateurs informatiques. Une SA fonctionne comme un service de contrôle des passeports du gouvernement d'un pays. Elle crée des certificats et les signe de façon numérique à l'aide d'une clé privée de SA. A l'aide de la clé publique de la SA, quiconque souhaite vérifier l'authenticité d'un certificat doit vérifier la signature numérique de la SA émettrice et, par conséquent, l'intégrité du contenu du certificat (essentiellement, la clé publique et l'identité du détenteur du Certificat) Un certificat numérique peut se présenter sous différents formats et contenir plusieurs informations Les informations minimales d un certificat La clé publique du détenteur du certificat Les informations du détenteur du certificat : il s'agit des informations portant sur l' «identité» de l'utilisateur, telles que son nom, son ID utilisateur, sa photographie, etc. La signature numérique, dont on a parlé précédemment du détenteur du certificat, également appelée auto-signature. La période de validité du certificat : dates/heures de début et d'expiration du certificat. L'algorithme de cryptage symétrique préféré pour la clé : indique le type d'algorithme de cryptage que le détenteur du certificat préfère appliquer au cryptage des informations. Ces informations peuvent varier selon la norme des certificats utilisés, notamment certains certificats autorisent plusieurs personnes à valider le même certificat Le concept de signatures multiples

20 Certains certificats permettent à plusieurs personnes de signer une paire de clés/d'identification pour attester en toute certitude de l'appartenance de la clé publique au détenteur spécifié. Certains certificats sont également composés d'une clé publique avec plusieurs libellés, chacun offrant la possibilité d'identifier le détenteur de la clé différemment (par exemple, le nom et le compte de messagerie d'entreprise du détenteur, l'alias et le compte de messagerie personnel du détenteur, sa photographie, et ce, dans un seul certificat). La liste des signatures de chacune de ces identités peut varier. Les signatures attestent de l'authenticité de l'appartenance de l'un des libellés à la clé publique et non de l'authenticité de tous les libellés sur la clé. Différentes personnes vérifient à différents niveaux l'authenticité avant de signer une clé Le mécanisme de distribution de certificats Au-delà d'une certaine charge de communication, il est nécessaire de mettre en place des systèmes pouvant fournir des mécanismes de sécurité, de stockage et d'échanges de clés nécessaires pour communiquer. Car il est facile pour un petit groupe de s échanger des clés par émail, mais lorsqu il s agit de milliers de clients et serveurs, la mise en place de systèmes de gestion de certificats est nécessaire. Ces systèmes peuvent se présenter sous la forme de référentiels de stockage uniquement, appelés serveurs de certificats ou sous la forme de systèmes structurés offrant des fonctions de gestion de clés, appelés infrastructures de clé publique (PKI). Le rôle d une PKI n est pas simplement le stockage. Elle permet de gérer l émission, la révocation (annulation avant échéance d un certificat), le stockage, la récupération et la fiabilité d un certificat. Un serveur de certificats, également appelé serveur de clés, est une base de données permettant aux utilisateurs de soumettre et de récupérer des certificats numériques. Un serveur de certificats offre généralement des fonctions de gestion permettant à une entreprise de soutenir sa politique de sécurité (par exemple, autoriser uniquement le stockage des clés répondant à des exigences spécifiques). Nous verrons dans la section suivante de quelles façons les procédés ci-dessus sont combinés pour élaborer des solutions de paiement électronique Etude de quelques solutions de paiement sécurisées Dans le système traditionnel du paiement par carte, chacun des éléments suivant à une fonction spécifique : Le numéro facial permet d identifier la carte et de vérifier son existence. Il n est pas confidentiel. Le code confidentiel permet de garantir que le titulaire a exprimé son adhésion au principe et aux modalités du paiement. La puce, par la mise en œuvre d algorithmes de chiffrement, permet de garantir la sécurité du processus de paiement. Dans l hypothèse d un paiement par l Internet fondé sur la seule communication du numéro facial, du nom du titulaire et de la date d expiration, l opération de paiement offre un degré de sécurité nettement moindre. Contrairement au paiement par code confidentiel, rien ne permet de considérer que le titulaire a exprimé son adhésion à l opération de paiement. Pour répondre à ce problème