Couverture ElectroniqueS n°127

Le salon de la carte à puce et de ses applications a encore une fois fait preuve d'un réel dynamisme. Côté mobiles, les cartes SIM ont l'ambition de proposer un stockage de données sécurisé pour l'opérateur, qui devrait également se préparer à une future abondance de services convergents vers le téléphone NFC. Chaque édition du salon Cartes témoigne de l'adoption croissante des moyens d'identification électronique et des moyens de paiement sécurisés en cours de migration vers le sans-contact. L'exposition donne également un aperçu des services que les opérateurs de téléphonie mobile pourront proposer à l'avenir grâce à l'évolution des cartes SIM et des piles de protocoles logicielles proposées par les encarteurs.L'essor de la vente par Internet et par correspondance motive, suite aux constats de fraudes importantes, la sécurisation accrue du numéro de carte bancaire. De nombreuses applications de génération de mots de passe dynamique OTP (One time password) étaient présentées. Alpha Micro montrait ainsi un mini-lecteur de carte personnel, apte à générer un OTP après saisie du code Pin. Ce boîtier faible coût a été conçu en partenariat avec le fournisseur de composants Teridian qui hébergeait la société anglaise sur son stand. Etant indépendant de l'ordinateur si vulnérable, il garantit que l'utilisateur de la carte est non seulement en sa possession, mais bel et bien autorisé à s'en servir, en plus de fournir un numéro à usage unique pouvant être exposé sans risque. Ce produit d'un coût inférieur à 10 $ sera avantageusement proposé par les banques, qui y verront une solution davantage sécurisée que la délivrance d'un OTP à partir de leur site web. La popularité de ces applications tient en partie au fait que plusieurs algorithmes de génération sont ouverts dans le cadre de l'initiative Oath. nCryptone, filiale à 100 % de Prosodie qui fournit des solutions d'authentification, exposait deux cartes de paiement intégrant un générateur de mot de passe dynamique. L'une intègre une pile et un écran bistable à faible consommation pour générer la suite de chiffres, alors que la seconde - destinée à l'usage téléphonique - fonctionne en mode acoustique en transmettant directement un signal audio codé par le biais d'un buzzer.Ces solutions au format carte de crédit concrétisent les techniques d'intégration de batteries et d'afficheurs dans les cartes, présentées depuis plusieurs années sur le salon mais qui manquaient de démonstrateurs. Lors de cette édition, des échantillons parfaitement fonctionnels étaient visibles sur plusieurs stands. On retiendra pour les fournisseurs de batteries l'offre de Solicore décrite dans nos comptes rendus précédents. Côté afficheur, le module alphanumérique à sept segments de Citala est caractérisé par une épaisseur de 450 µm, un temps de réponse de 6 ms et une consommation de 70 µA sous 2,6 à 3,5 V pour un courant de fuite de 5 nA en veille.L'évolution de telles cartes système pourrait aboutir à l'avenir à l'intégration d'un clavier de saisie de code Pin sur la carte elle-même afin de renforcer davantage l'authentification.Les processeurs d'application pour l'informatique ou l'embarqué n'ont rien de sécurisé. Malgré toutes les sécurités logicielles mises en &oelig;uvre, le processeur présente une faille intrinsèque : l'analyse des timings du fonctionnement de son unité de prédiction de branchement permettrait à un logiciel espion potentiel de retrouver la clé utilisée lors d'une opération de chiffrement. C'est pour cela qu'avant d'équiper l'ordinateur de Monsieur Tout-le-monde, les processeurs sécurisés issus du marché de la carte à puce s'invitent depuis quelques années déjà sur les cartes-mères des ordinateurs portables à usage professionnel, qui se doivent de garantir un processus d'authentification forte. STMicroelectronics propose à destination de ce marché une réduction du coût, grâce à une version 0,15 µm de son circuit TPM (Trusted processor module) conforme à la spécification TCG 1.2 (Trusted computing group) et validé par Microsoft lors des phases de développement et de test de Windows Vista.Autre société à exploiter un tel processeur hors des marchés traditionnels, Atmel a dévoilé une version USB de son circuit sécurisé pour systèmes embarqués. Basé sur le c&oelig;ur AVR 8/16 bits de l'américain, ce circuit qui intègre 32 Ko d'Eeprom est disponible en trois types de boîtiers (SOIC, QFN ou LQFP). L'interface USB 2.0 full speed a le mérite d'être supportée sous le protocole CCID et ne nécessite donc pas de driver spécifique. Le processeur sera ainsi facilement mis en &oelig;uvre dans les clés USB sécurisées ou les centrales multimédias de salon. Prêt à l'emploi, cet ASSP est ampillé AT98SC032CT-USB intègre le firmware répondant à la plupart des applications standard (gestion de DRM, OTP Oath, génération de paires de clés publiques RSA et ECC…). Il arrivera sur le marché début 2007. Il vient seconder un composant à interface SPI introduit l'an passé, dédié à la prévention de la contrefaçon d'équipements électroniques ou d'accessoires tels que les packs de batteries.Pour les applications gouvernementales, toujours fortement présentes sur le salon, Atmel a développé un circuit à interface duale (Iso7816 et Iso/IEC14443) musclé en mémoire et également basé sur le c&oelig;ur AVR. Ses 144 Ko d'Eeprom permettront de stocker les dix empreintes digitales du porteur de passeport, tout en laissant suffisamment de ressources pour les autres informations. Avec 256 Ko de Rom programme, 32 Ko supplémentaires dédiés aux librairies cryptographiques et 8 Ko de Ram, ce circuit est conçu pour supporter des applications JavaCard qui se satisferont du c&oelig;ur AVR, toujours présenté par Atmel comme un excellent concurrent face aux circuits 32 bits. Au niveau de l'interface sans contact, on notera que le circuit est doté d'une option sur la capacité d'accord du circuit d'antenne allant de 20 à 100 pF, afin de s'adapter à la technologie choisie. Pour le même type de marché, Infineon proposait également un produit 8/16 bits destiné à recevoir une certification critères communs EAL 5+. Cette famille SLE 66PE à interface duale ne vise pas les applications gourmandes en mémoire évoquées par Atmel. En revanche, l'allemand met en avant le débit élevé de l'interface sans contact qui supporte 848 kbits/s.Le paiement tire l'innovationLe salon a, pour la seconde année consécutive, révélé à quel point les technologies sans contact, NFC en particulier, s'apprêtent à révolutionner le monde de la carte à puce traditionnelle, notamment dans le monde du paiement. En Europe, les premiers pilotes d'applications EMV (débit/crédit) embarquées dans des cartes SIM de téléphones mobiles annoncent la mise en place de modèles d'émission d'application de paiement inédits (qui pourraient remplacer à terme l'émission de cartes de paiement), grâce à la fonction OTA (Over-the-air). Visa International a ainsi montré comment en Corée, grâce à la technologie et la plate-forme développées (Mobile Matrix) par la société Cassis International, ses applications de débit/crédit étaient téléchargées de façon sécurisée dans les cartes SIM de l'opérateur SK Telecom, et permettaient ainsi de remplacer l'usage des cartes par celui du téléphone mobile pour tous types de paiement.Ces évolutions prouvent que les technologies OTA deviennent stratégiques. Aux côtés des grands acteurs de ce domaine que sont Gemalto et SmartTrust, de nouveaux entrants comme Cassis International, ViVOtech, le leader des terminaux de paiement sans contact aux Etats-Unis, Giesecke & Devrient, allié à Nokia, cherchent à innover en proposant aux opérateurs des solutions qui permettront de télécharger et personnaliser, de façon sécurisée, des applications qui ne seront pas toutes nécessairement dans la carte SIM du téléphone. SanDisk, le leader mondial de la carte flash, et Bouygues Telecom ont d'ailleurs annoncé le premier accord du genre pour la commercialisation, auprès des abonnés de l'opérateur, d'une carte flash microSD sécurisée (TrustedFlash) qui donnera accès à des services i-mode d'achats et de téléchargement OTA de contenus (DRM). Dans ce scénario, la carte SIM sert de contrôleur de la fonction OTA.Cette convergence des fonctions de paiement et de DRM dans la carte SIM suscite du coup de nouvelles approches de la sécurité, et des développements de façon à rendre cette carte embarquée dans le téléphone mobile aussi sûre qu'une carte bancaire ou une carte de Pay-TV traditionnelles. Msystems (mSafe) et Arm (TrustZone) travaillent à des architectures de sécurité, qui combinent la sécurité des cartes SIM et celle offerte par la création de « domaines de sécurité » dans la mémoire du téléphone. WorldCell, un opérateur télécoms dans les données, a ainsi développé une carte SIM Multos sécurisée à la fois EMV et CAP (Chip authentication protocol) afin d'assurer des fonctions de paiement classique et d'authentification en ligne pour les applications bancaires par Internet. L'association EMV et CAP (ou son équivalent chez Visa, baptisé DPA pour Dynamic passcode authentication) se confirme d'ailleurs dans le monde des cartes traditionnelles. « La migration EMV est en train de réduire la fraude pour les transactions classiques. Alors que CAP va se développer maintenant pour diminuer la fraude qui a tendance à croître dans les transactions où la carte n'est pas physiquement présente, sur Internet par exemple » souligne Pascal Dufour, le vice-président Chip product management chez MasterCard.Mais la sécurité n'est pas tout. Les initiatives pour simplifier dans les cartes traditionnelles les implémentations de masques EMV différents (VSDC de Visa, M/Chip de MasterCard, et JSmart de JCB, par exemple) se précisent. Integri et Sagem-Orga ont ainsi montré et testé la première mise en &oelig;uvre CPA (Common payment application), une spécification définie par EMVCo qui permet de ne développer qu'une seule application pour réaliser les trois implémentations de référence, avec des gains de coûts en termes de tests et de gestion. EDSI, de son côté, a annoncé le développement d'un OS CPA qui devrait être disponible début 2007. Enfin, pour accroître l'interopérabilité de ce type d'applications lorsqu'elles s'accompagnent d'applications tierces, notamment dans le sans-contact (contrôle d'accès, fidélité, authentification forte), la SPA (Smart payment association) a publié à la veille du salon une série de spécifications de bas niveau pour quatre profils types de cartes.

Cartes 2006 : une déferlante d’applications en préparation autour du paiement et de la carte SIM

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure

Cartes 2006 : une déferlante d’applications en préparation autour du paiement et de la carte SIM

Dans la même rubrique

Couverture ElectroniqueS n°127

IBM grave les premières puces en 2 nm en abandonnant les FinFET

Zeta, le protocole LPWAN made in China, arrive en Europe

Harting invente le connecteur électronique sur mesure