Page 57 - Cadre de garantie de la sécurité des services financiers numériques

vaux de Troie, des vers, des logiciels rançonneurs insuffisante des identifiants du client ou s'il coo-
et d'autres programmes malveillants/rootkits père avec l'adversaire.
qui peuvent compromettre les informations du
client ou rendre l'utilisateur plus vulnérable aux 4� Appareil mobile – station de base
tentatives d'hameçonnage visant à obtenir les
identifiants pour l'application, ce qui permettrait a. Les réseaux GSM existants au sein desquels les
à l'attaquant d'accéder au compte du client sans applications de DFS utilisent principalement les
autorisation. technologies SMS, USSD ou IVR reposent sur
c. Des mesures de contrôle des accès insuffisantes la sécurité offerte par le réseau. Cette sécurité
au sein de l'application, par exemple un méca- est assurée par les algorithmes de chiffrement
nisme d'authentification requis avant l'exécution des réseaux GSM tels que A5/1 et A5/2. Il a été
d'opérations sensibles (par exemple, inscription, démontré que ces algorithmes sont vulnérables.
transfert de paiement) basé sur des hypothèses Des travaux récents ont également démontré
de confiance, peuvent entraîner la compromis- que des approches similaires peuvent être uti-
sion de l'application et l'extraction de données lisées pour compromettre le chiffrement A5/3.
du client ou des transferts d'argent non autori- Dans certains systèmes, l'algorithme A5/0 est
sés. spécifié, ce qui fournit un chiffrement nul et donc
d. L'absence de capacités de journalisation/d'audit aucune protection de la confidentialité des don-
au sein de l'application, ainsi que l'absence de nées. Les attaquants peuvent ainsi exfiltrer des
stockage de ces données dans une partie pro- informations sensibles par le biais d'une interface
tégée de la mémoire de l'appareil, peuvent com- "over-the-air". Indépendamment des menaces
promettre les garanties de non-répudiation et de sécurité pour le réseau de transport sous-
empêcher l'utilisateur de prouver qu'il a subi une jacent, les protocoles STK et HTTPS fournissent
attaque. un chiffrement de bout en bout.
e. L'absence ou la mauvaise utilisation du chiffre- b. Les réseaux existants utilisant le chiffrement GSM
ment dans l'application, entraînant une consigna- (STK, USSD et IVR) sont également vulnérables
tion non sécurisée dans les journaux de l'applica- aux attaques par interception depuis des sta-
tion ou un stockage dans des bases de données tions de base malveillantes installées par un atta-
sans chiffrement ou avec un chiffrement faible, quant, qui les fait passer pour des installations
peut également permettre à un acteur malveil- légitimes du fournisseur (il s'agit donc de fausses
lant d'exposer ces informations. stations de base, ou "intercepteurs d'IMSI"). Ces
f. Si l'application permet la négociation de suites stations déchiffrent les communications, puis les
de chiffrement faibles, elle peut faire l'objet d'at- renvoient dans le réseau de l'opérateur mobile.
taques par rétrogradation vers des versions anté- Il est ainsi possible d'accéder à l'intégralité des
rieures utilisant des algorithmes de chiffrement informations communiquées, y compris les don-
potentiellement faibles. Si les clés de session ne nées de transaction et les données financières.
sont pas renégociées de manière régulière, l'ac-
cumulation de contenus chiffrés peut rendre la 5� Appareil mobile – Internet
clé vulnérable aux attaques.
g. Accès non autorisé à un appareil mobile perdu a. La sécurité de la liaison de communication
ou volé. dépend de la suite de chiffrement négociée
h. Altération d'applications mobiles. entre l'application et les services internes dans
les systèmes de bout en bout sur Internet. Il a été
3� Client – agent de DFS démontré que les informations contenues dans
les applications circulent vers diverses destina-
a. Les clients peuvent être vulnérables aux attaques tions en dehors du terminal autorisé, y compris
d'échange de carte SIM, où l'attaquant se fait dans des journaux d'événements et des bases de
passer pour le client auprès de l'agent afin d'ob- données. Par conséquent, seuls les mécanismes
tenir une nouvelle carte SIM qui donne accès au de chiffrement forts comme les protocoles TLS
compte de DFS. garantissent la sécurité des données dans les
b. Des cartes complémentaires liées à des comptes réseaux de télécommunication publics.
de DFS peuvent s'exposer à des vulnérabili- b. Il est également important de veiller à ce que les
tés similaires si l'agent effectue une vérification suites de chiffrement ne fassent pas l'objet d'at-

Cadre de garantie de la sécurité des services financiers numériques 55