ICI, la formule secrète des cartes bancaires

Les simulacres de cartes bancaires à puce vont déferler prochainement.

Suivi de l'avancée des pirates

L'objectif de cette page est de décrire l'avancée des pirates de la carte bancaire (faisant des simulacres de cartes reconnues comme émanant de l'autorité bancaire et permettant donc de faire des transactions réelles en leurrant ces terminaux de paiements) et d'avertir la population du niveau atteint par les pirates.
Nous rappelons aux hackers qu'ils risquent des poursuites judiciaires sans pitié et nous les dissuadons de se lancer sur ce projet sur la "Yescard" (*)
Une chose est sure et on ne peut que le déplorer, on ne peut plus arrêter ce mouvement des pirates qui va déferler à grande vitesse.
Prêcher pour leur demander de ne pas travailler sur ce projet aux conséquences désastreuses semble cependant vain.
En aucun cas nous ne fournirons d'assistance à quiconque sur ce projet.

Echelle Defcon

L'échelle Defcon permet de mesurer le niveau actuel de la menace présentée par les pirates de la carte bancaire.
Actuellement (au 26/02/2000) on est au niveau 2 sur une échelle de 1 à 5
L'échelle Defcon vient du film "Wargame"
A partir du niveau 3, des simulacres de cartes sont opérationnels et commencent à être utilisé.
Le niveau 5 sera de toutes façons atteint dans les prochains mois si les banques ne se décident pas à changer radicalement leurs cartes. En effet, d'une part, la sécurité du système des cartes bancaires évolue moins vite que les pirates (voir l'aveu même du directeur technique du cartel des banques dans le Figaro du 16/02/2000), d'autre part, il faut au moins 18 mois pour remplacer tous les terminaux de paiements puis les cartes.
Le scénario est déjà tout écrit, il suffit de se baser sur l'expérience du décodeur Canal+. Or fabriquer un simulacre de carte bancaire à puce, c'est plus facile à faire qu'un décodeur Canal + de la première génération. Donc de nombreux simulacres de cartes apparaîtront tout prochaînement et innondront le marché.
En effet : il fallait quelques heures pour fabriquer un décodeur Canal+ et investir quelques centaines de francs en composants.
Alors qu'il ne faudra que 10 minutes à un pirate pour fabriquer 10 simulacres de cartes bancaires pour un coût de seulement quelques francs pièce.
Détail des niveaux :

Defcon 1

Le système est vulnérable mais personne ne s'attaque au problème ou alors cette personne est maîtrisée (genre Serge Humpich).

Defcon 2

De nombreux informaticiens et électroniciens très doués sont penchés sur le projet "Yescard".
Ils ont la mentalité de "hackers" c'est à dire que leur seule motivation est technique : relever le défi de percer le secret des cartes bancaires et diffuser le résultat de leurs recherches.
A ce niveau, les informations pour fabriquer un simulacre de carte bancaire sont disponibles mais il faut les rassembler et les confronter : c'est un peu un jeu de pistes
Ces pirates se procurent le matériel nécessaire [kit de développement de carte à puce (lecteur de carte à puce, bonne cartes à puce et logiciel de développement de carte à puce), logiciel de calcul sur les grands nombres, éventuellement terminal de paiement pour les tests]
Actuellement (26/02/2000), suite à la diffusion des clés dans un message anonyme le 09/02/2000, la difficulté théorique principale a été franchi et il ne reste plus que les problèmes de mise en oeuvre.

Defcon 3

Un hacker, individu n'ayant que des motivations techniques et travaillant pour la gloire balance des détails techniques sur la mise en oeuvre de la solution sur Internet.
[pour le décodeur Canal +, c'était plus compliqué, le journal Haut parleur avait publié les plans, une revue en Suisse n'ayant rien à voir avec l'électronique l'avait également fait].
Notons qu'il y a une loi interdisant maintenant la diffusion de plans de décodeurs de télévision. Il y a également une loi adoptée après la diffusion du livre "Suicide mode d'emploi" interdisant de parler de façon de se suicider
Cependant, il n'existe aucune loi en France interdisant la publication de moyen de fabriquer des simulacres de cartes bancaires.
De toutes façons, adopter de telles lois en France serait tout à fait vain du fait de l'existence du réseau mondial Internet.
Suite à cela, de nombreux pirates de second niveau (ingénieurs informaticiens) disposeront du système de fabrication de simulacres de cartes bancaires à puce (matériel nécessaire : kit de développement carte à puce) et utiliseront des cartes à puce blanche de façon occasionnelle pour leur utilisation personnelle, notamment sur les automates (RATP, SNCF, parking, publiphones, distributeurs automatiques d'essence, petits distributeurs de billets utilisant la carte à puce comme on en trouve dans certains hotels, centres commerciaux ou foire), plusieurs variantes de simulacres de cartes apparaîtront, certains seront plus facilement reprogrammables.
Les commerçants (notamment la SNCF, la RATP, les pompistes ayant des distributeurs automatiques) refuseront d'assumer le risque de la fraude et demanderont aux banques de payer.
Pour se procurer le matériel, il suffira de prononcer un nom de code dans un magasin d'informatique, genre "Yescard" ou "Humpich" pour que le commerçant comprenne tout de suite ce que vous voulez.
[Au début des décodeurs Canal +, il suffisait de parler de "ligne à retard" dans un magasin d'électronique pour que l'on vous tende un sachet avec tous les composants nécessaires et un plan de montage]

Defcon 4

Il ne sera plus possible pour quiconque d'utiliser une carte bancaire à puce (même réelle) sur les automates entièrement robotisés.
Sauf peut être à la RATP entre le 25 et le 5 du mois où un emploi jeune surveillera que les cartes insérées dans les automates comporte l'hologramme car il n'y a pas assez de guichets.
Les commerçants ayant des automates robotisés (RATP, SNCF, parkings, publiphones, distributeurs, pétroliers) seront furieux car leur chiffre d'affaires baissera considérablement.
Des criminels fabriqueront des simulacres de cartes bancaires à puce à l'échelle industrielle.
Certains escrocs maquilleront le simulacre avec un hologramme ou grefferont la puce sur une carte bancaire réelle.
Les personnes intéressées compareront les qualités des différents modèles et leur prix (les modèles reprogrammables facilement seront prisés pour éviter d'apparaître sur la liste noire).
Le seuil de transaction à partir duquel l'autorisation de la banque est demandé est abaissé.
Des petits malins trouvent plus intéressant d'utiliser des numéros de compte réel (16 chiffres et date d'expiration) appartenant à de véritables porteurs de carte (trouvés sur des facturettes) que d'utiliser des numéros de comptes bancaires inexistants.
Cela permet à la carte de durer plus longtemps : des porteurs de cartes se plaignent de transactions mystérieuses faites à Marseille un jour où ils avaient fait un retrait ou un achat dans l'hopital de Dunkerque où ils séjournaient.
Ils ont du mal à obtenir le remboursement auprès de leur banque.
Les commerçants s'inquiètent de la hausse de leur coût téléphonique et du coût de la fraude qu'on veut leur imputer.
Le trafic de simulacres de cartes bancaires est très organisé : certains ne fournissent que les cartes à puce, d'autres offrent le service de reprogrammation (avec des logiciels permettant de faire 10 simulacres de cartes en 10 minutes), d'autres vendent des numéros de cartes de porteurs réels.
Certains pirates sont plus subtils, ils choisissent leur banque victime au gré de leur caprice, il suffit pour cela de choisir correctement les 4 premiers chiffres du numéro de carte à 16 chiffres.
D'autres piratent ouvertement, parce qu'ils ont remarqué que personne ne les désapprouve. On avait ainsi noté, par exemple, au temps d'Action Directe, que les braqueurs de banque recrutaient n'importe qui pour leur demander de surveiller une rue. Les gens sont souvent indifférents aux braquages de banque, par contre les arracheurs de sacs aux vieilles dames sont inexcusables.

Defcon 5

Les cartes maquillées avec hologramme seront courantes.
De plus, la plupart des fraudeurs utiliseront des numéros de compte de porteurs de carte réels à l'aide de facturettes trouvées ou de bases de données piratées de commerçants faisant de la vente sur Internet.
Cela générera un débat pseudo éthique entre ceux (hypocrites) qui prétendent pouvoir se procurer une carte pirate mais préfèrent payer avec du vrai argent au prétexte qu'ils veulent bénéficier du Service Après Vente et ceux sans scrupule qui utilise leur carte pirate.
Le système sera complètement cassé. Plus aucune transaction carte bancaire ne sera acceptée à moins de disposer d'une nouvelle carte diffusée dans l'urgence, les commerçants devront s'équiper en nouveaux terminaux de paiement et mettront les anciens à la poubelle.
Le cartel des banques risque d'exploser pour ne pas assumer les frais du désastre, à cause de divergences entre membres ou sous la pression politique et judiciaire (tel qu'abus de position dominante).

LIENS SUR LE HACKING :

Hacker vaillant rien d'impossible	Des Hackers expérimentent avec succès la "Yescard".
Article de Patrick Gueulle	Commentaire de l'article de Patrick Gueulle dans la revue le "Virus Informatique".
Explorateur carte bancaire	Explorez votre carte bancaire à puce en 5 minutes, pour cela pas besoin de connaître le code secret.
23/04/2001 Programme source	Le source d'un programme de Yescard semble avoir été révélé sur Internet !
Quizz du malfaiteur	Apprenez les maths pour devenir chef du Gang
Récapitulatif des attaques de la carte bancaire	Plus de 50 méthodes d'attaques de la carte bancaire expliquées !
Principes d'authentification de la carte bancaire à puce	Cet article technique de 1988 paru dans la revue les annales des télécommunications met en lumière que la sécurité des cartes bancaires est insuffisante. La méthode d'authentification exposée dans cet article est toujours en vigueur malgré les conseils de ces experts pour faire évoluer la méthode (Ce qui constitue une faute).
09/02/2000 Le secret découvert par d'autres, message très technique pour les initiés	Un internaute anonyme a envoyé un message technique sur un forum de discussion. Il montre que cette personne a fait des études approfondies sur le sujet et est tout prêt d'aboutir. Il a établi la preuve mathématique qu'il connaissait une partie importante du secret de la carte bancaire et l'a diffusé sur Internet, ce qui permet à d'autres d'en bénéficier. Il reste maintenant la mise en oeuvre pour fabriquer des simulacres de cartes bancaires à puce reconnues par les terminaux de paiements. A noter que la plupart des informations sur cette page viennent de ce forum fr.misc.cryptologie
04/03/2000 Démonstration mathématique du secret	un article très technique posté sur un forum de discussion fait une démonstration mathématique à l'aide d'un logiciel de calcul grand public du secret de la carte bancaire à puce actuellement en circulation Ce secret étant révélé, il ne reste plus qu'à le mettre en oeuvre ! Voir aussi explication de cette formule (rubrique Sécurité)
Résumé technique	Ce site fait un résumé des techniques utilisées par la carte bancaire à puce, les clés utilisées et avec des informations inédites. Il montre que ce problème suscite de l'intérêt de la part de nombreuses personnes.
Livre "PC et cartes à puces"	Patrick Gueulle, a écrit un livre apprécié sur la programmation de la carte à puce ("PC et cartes à puce" , éditions ETSF). En préface, on peut y lire des propos pleins de bons sens sur l'"omerta" qui entoure la carte bancaire à puce : "Il faut dire qu'en raison de la 'sensibilité' des applications de l'époque (essentiellement de nature 'monétique'), un épais mystère a longtemps été entretenu autour de l'art et la manière de lire et écrire dans les cartes à puce". Il a également dit plus généralement "Sauf faute très lourde de l'émetteur d'une telle carte (dont il porterait évidement l'entière responsabilité), on considère donc communément comme impossible de percer le mystère de la partie sécurisée des échanges de données entre la carte et le lecteur" et il rajoute que toute faille pouvant être découverte dans une puce était de la responsabilité du concepteur. Autre citation page 19 de son livre "PC et carte à puce" : "Il est d'ailleurs assez piquant de remarquer que les puces utilisées pour cette application (de télé à péage) sont très sensiblement plus puissantes que celles utilisées dans les cartes bancaires." Ce livre contient un chapitre entier sur la carte bancaire et même un programme en assembleur pour faire un simulateur de carte à puce asynchrone sur un PIC 16C84 ! Un must !
Ubasic	Langage de programmation en basic pour faire des calculs sur les grands nombres.
Programme de rechargement de télécarte	Ce site propose un programme pour les télécartes. A noter que les cartes bancaires sont asynchrones (carte à microprocesseur) alors que les télécartes sont synchrones (carte à mémoire) Voir aussi la FAQ sur la télécarte Make your own phone card by Stéphane Bausson, et Make your own phone card by Stéphane Bausson" target="_top">volume 2
Une fausse carte bancaire pour les nulles !	Canular pour fabriquer une fausse carte bancaire (à un moment donné un mot de passe est demandé, cherchez bien, il se trouve sur la page !)
Spécifications Eurocard Mastercard Visa	Un exemple à suivre pour le cartel franco-français : les spécifications des futures cartes en service en France (vers 2002) sont disponibles sur ce site, y compris les clés publiques RSA de 768 à 1024 bits. Au moins cela pourra occuper les plus doués des hackers qui trouvent la carte bancaire à puce française datant de 1983 trop facile pour eux ! Voir aussi emvco.com et Bull CP8
13/03/2000 AFP Roland Moreno	Roland Moreno propose 1 million de francs à quiconque trouverait le code secret à 4 chiffres d'une carte à puce (lors d'une interview sur Europe 1). Il est exact que dans l'affaire de la sécurité des cartes bancaires, le problème ne vient pas de la puce mais de sa mise en oeuvre par les banques qui ne tirent pas parti pleinement des propriétés de la puce et dont les tailles de clés étaient insuffisantes dès leur conception. Les banques assumeront seules cette faute de conception et nous partageons l'avis de Serge Humpich qui a toujours dit que "le principe de mettre une puce sur une carte bancaire est bon". Il est possible de découvrir le secret d'une puce, pour cela, il faut la bombarder au laser et l'observer au microscope électronique, ce qui la détruit et présente peu d'intérêt, mais dans ce cas là, Roland Moreno ne paiera pas le million car les conditions sont draconiennes (même celui qui avait trouvé une faille dans la puce en 1988 ne l'aurait pas).
30/08/1999 The Register	Article en anglais lors du cassage en 7 mois du RSA 512 bits utilisé pour des transactions sur Internet
19/03/2000 Yescard 768	Failles dans l'authentification des cartes bancaires à clé rallongée (RSA 768 bits) émises depuis novembre 1999
THC Credit 1.9	Logiciel développé par le groupe The Hacker Choice "THC", il s'agit d'un générateur de numéros de carte bancaire avec indicatifs de préfixe de banques et extrapolation de numéro de cartes bancaires. (Les préfixes des banques françaises commencent généralement par 497)
Netscape	Programme de vérification du format de carte bancaire en Javascript
Credit Card Verifier	Le format (clé de Luhn) des numéros de cartes bancaires peuvent être vérifiés avec ce logiciel
Maxking	Le site de ce vendeur de toutes sortes de matériel pour programmer des cartes à puce met aussi des explications sur la carte à puce, les standards, les utilisations, des liens. Voir aussi microchip.com
e-Panorama.net	Infos sur les cartes à puce
Dumb mouse	Lecteur de carte à puce voir aussi : Smartcard Developer Association. Attention, requiert un logiciel pour explorer la puce.
Digital Laboratory	Smartcard explorer software, nécessite un périphérique spécifique.
Méthode pour obtenir 1 million de Roland Moreno	Cette méthode brutale de violation des cartes à puce (enlèvement du masque de la puce à l'acide, ajout/suppression de micro-connexions au laser, observations au microscope électronique, soit la destruction de pas mal de puces) a en fait été explicitement exclue du défi de Roland Moreno. Il parait même que ces manipulations décrites dans cet article très sérieux étaient pratiquées dans une école d'ingénieur de la région parisienne avant qu'un étudiant en abuse...
2600 France	Ce groupe de hackers donne quelques informations sur les différents types de carte bancaire.
Wafercard	La carte préférée des bidouilleurs chevronée en électronique, elle comporte un circuit PIC 16F84 permettant de programmer n'importe quoi à l'aide d'un programmateur spécifique MK14 ou FX programmer. L'intérêt de la Wafercard est que le processeur PIC est directement intégré sur la puce de la carte, il n'y a donc pas un gros composant qui dépasse à l'autre bout de la carte. Attention, la documentation et les logiciels pour lire et programmer de telles cartes sont peut être laconiques. A ne pas mettre entre toutes les mains !
Smart Card Handbook	Le livre de référence en matière de carte à puce, une nouvelle version sortira le 13 septembre 2000. Voir aussi Smart Card Developer Kit un livre sorti début 1998 accompagné d'un CD pour programmer les puces et une interface avec un lecteur. Nous ignorons si ce livre comporte un lecteur de puce.
Basiccard	Ce kit de programmation permet au débutant de s'initier à la programmation des cartes à puce pour un faible budget et de développer rapidement des applications carte à puce dans un environnement dédié avec un debugger très pratique car simulant le comportement de la Basiccard. Ne permet pas a priori d'émuler les cartes bancaires car la programmation ne fonctionne (pour l'instant) que sur les cartes asynchrones qu'en mode T=1 alors que la carte bancaire est en mode T=0. Cependant, il est possible que certains terminaux acceptent des cartes du type T=1. Pour lire et explorer des cartes T=0 avec ce lecteur, il est possible d'utiliser le logiciel CardEasy.zip créé par un inconnu. Est fourni avec des algorithmes DES, triple DES, IDEA ou courbes elliptiques 161 bits (il n'y a malheureusement pas de RSA pour l'instant, mais le brevet RSA étant maintenant dans le domaine public, cela peut arriver, il est également possible de le programmer soi même en Basic (pré-compilé) mais les temps de réponse ne seront peut être pas terrible) C'est donc un excellent qualité prix par rapport à d'autres kits de programmation en Java par exemple (cependant, le kit Cryptoflex de Schlumberger permet de faire du RSA 1024 bits, programmation en Java).
Eurequat	Imprimantes pour personnaliser des badges, cartes de paiement ou systèmes d'encodage en série de carte à puce. Il est probable que ce matériel se trouve aussi chez Surcouf.
18/05/2000 France 2 20h50	Emission Envoyé Spécial sur les failles de la carte bancaire : un pirate de carte à puce explique qu'il souhaite diffuser le mode d'emploi sur Internet car il considère le système des cartes bancaires à puce obsolète suite à la diffusion des clés sur Internet !
06/2000 Elektor	Plans pour fabriquer un lecteur de piste magnétique. Des sources du logiciel pour décoder les informations sur les pistes magnétiques des cartes bancaires est fourni avec. Le lecteur peut aussi être acheté chez conrad.de ou hopt-schuler.com

(*) Note : le doux nom de "Yescard" est semble t'il utilisé par des techniciens du cartel pour désigner les simulacres de carte bancaire à puce où l'on peut rentrer n'importe quel code secret à 4 chiffres (d'après un message anonyme du 09/02/2000 laissé sur un forum de discussion sur Internet).
Il n'a pas encore été déposé comme marque au 26 février 2000.