Les systèmes de paiement sans contact sont des cartes bancaires, porte-clés, cartes à puce ou d'autres dispositifs (téléphone mobile) qui utilisent les technologies des radio-identification (RFID) et de communication en champ proche (CCP/NFC) afin d'effectuer des transactions. Une puce intégrée et une antenne permettent aux consommateurs d'effectuer un paiement avec leur carte sur un lecteur au point de vente, par simple contact ou simple proximité immédiate, sans introduction de la puce dans un appareil de lecture.
Certains fournisseurs[Lesquels ?] affirment que les transactions peuvent être presque deux fois plus rapides qu'une transaction classique. Il n'y a ni signature ni saisie du code confidentiel exigé pour les achats de moins de 25 $ US aux États-Unis, de moins de 250 $ CA au Canada, de moins de 80 Fr. en Suisse ou de moins de 50 € en Belgique et en France. Certaines recherches[1] indiquent que les consommateurs sont enclins à dépenser plus d'argent en raison de la facilité des petites transactions, d'autres avertissent de l'existence de failles de sécurité permettant d'outrepasser les limitations de paiements sans avoir à saisir de code confidentiel[2].
Terminologie
L'Académie française a relevé le caractère paradoxal de l'appellation « sans contact » pour désigner un procédé qui permet, au contraire, un paiement par simple contact, plutôt que par insertion. La désignation correcte serait donc « paiement par contact » ou « paiement sans insertion ». En effet, une étude menée par MasterCard a montré que 92,6 %[réf. nécessaire] des utilisateurs de moyens de paiement dits « sans contact » avaient acquis le réflexe de poser la carte sur le lecteur et non de la tenir à distance, donc « sans contact » au sens propre.
Histoire
Plusieurs expérimentations de paiement sans contact ont eu lieu depuis le milieu des années 1990[3] :
Hong Kong Octopus Cards Limited[3] : lancée en 1997 pour l'utilisation des transports en commun. Le succès fut au rendez-vous et le concept fut élargi aux commerces de la ville. Chaque jour, environ 6,5 millions de dollars sont échangés grâce à ce système. Octopus Card utilise la technologie Felica développée par Sony, utilisant la même fréquence que le NFC[4] ;
ExxonMobil Speedpass[5] : introduit par Exxon en 1997 dans le but de proposer un service simple, et permettant de fidéliser sa clientèle. La technologie utilisée est encore une fois basée sur la RFID[6] ;
Paiement sans contact Visa en Corée du Sud[7] : depuis 1998, la Corée du Sud compte environ 6 à 7 millions de cartes sans contact Visa ;
MasterCard Paypass[8] : annoncée en , cette solution a été développée pour les commerces où la vitesse est essentielle (restauration rapide, stations essence, cinéma…). Encore une fois, la technologie NFC fut utilisée pour cette opération.
En , le paiement sans contact, cette fois avec la carte bleue Visa, est testé à la Fnac de La Défense à Paris, auprès d'employés de la Société générale et le , Orange, la SNCF et la régie de transports urbains Keolis s'associent pour mener pendant 2 mois une autre expérimentation avec téléphones mobiles dans le métro, les bus et les trains TER à Rennes[13],[11] Mais ces expérimentations demeurent provisoires.
Après un test effectué avec 27 usagers d' à , le à Nice, Lignes d'Azur est le premier opérateur de transport en Europe, qui inclut dans son offre une application pérenne autorisant le paiement de ses titres de transport, en l'occurrence de tramways et de bus, avec une carte bancaire sans contact ou un téléphone mobile NFC (Samsung), sur la base de la technologie dite de communication en champ proche (NFC), succédant à la radio-identification (RFID), ainsi que leur chargement sur et avec son téléphone mobile, de même que la validation de l'accès à ces modes de transports avec ces deux supports[14],[15]. En , le paiement sans contact du stationnement à Strasbourg est rendu possible sur 765 horodateurs[16]. Le système mis en œuvre à Nice sera repris sur les réseaux de tramways et de bus de Caen et Strasbourg, respectivement les 18 et , où la validation s'effectue aussi directement avec son téléphone mobile NFC[17],[16], ou par la suite testé à Paris sur la carte Navigo en , avant d'être adopté le [18],[19],[20].
Exemples d'applications et de technologies, Smart Card Alliance 2003[21]
Nom
Nombre d'outils utilisés
Technologie
Forme
Hong Kong Octopus Card
9 millions
Felica - 13,56 MHz
Carte plastique
ExxonMobil Speedpass
6 millions
Texas Instrument - Low Frequency RF
Porte-clés, bracelets, transpondeur
Paiement sans contact Visa en Corée du Sud
7 millions
ISO 14443 - 13,56 MHz
Mobile, Carte plastique
MasterCard Paypass
Pilot
ISO 14443 - 13,56 MHz
Carte plastique
Déploiement par pays
Royaume-Uni
Au Royaume-Uni, il y avait 30,3 millions de cartes sans contact en [22]. Introduites en 2007, et limité aux opérations de moins de 20 livres, il y en a 58 millions fin 2014 (+ 52 %/an). Il y a eu 319 millions de transactions en 2014 (+218 %/an), pour 2,3 milliards de livres (+ 255 %/an) : 2,7 % du montant total des transactions par carte, soit une transaction moyenne de 8,26 £[23]. À Londres, près du tiers des paiements par carte inférieurs à 20 livres se font sans contact, notamment pour Transport for London[24].
47 % des transactions en étaient sans contact, contre seulement 1,68% en [28],[29]. En , 44 % des commerces CB, soit 649 000 commerces, acceptaient les paiements sans contact[30],[31]. De plus, 47,2 millions de cartes CB sont équipées de la fonction « paiement sans contact », soit 71 % du parc CB en [30].
Pologne
En Pologne, près de 33 % des transactions étaient sans contact en 2014[28]. En 2018, cette part atteint 80 %[32].
Économie
Le paiement sans contact est utilisé dans de nombreux pays depuis le début du XXIe siècle, et sur plusieurs continents : Asie, Amérique du Nord, et Europe principalement[33].
L'utilisation du paiement sans contact est encouragée par de nombreuses associations, notamment la Smart Card Alliance[33].
La promotion de l'utilisation des systèmes de paiement sans contact, notamment par les banques, a pour but d'augmenter le volume de transactions, de réduire le paiement en espèces, et de fidéliser les utilisateurs.
Pour les vendeurs, plusieurs avantages sont avancés par ces associations : temps de transaction écourté, coût de l'opération diminué…
Pour les utilisateurs, l'avantage de payer en effectuant le moins de mouvement possible, la sécurité de ne pas avoir à montrer la carte de paiement[33]…
En France, Cityzi, qui regroupe les principaux opérateurs de télécommunication, des banques, des opérateurs de transport, des commerçants et des acteurs industriels, a pour but de promouvoir le NFC comme moyen de paiement à l'aide d'un téléphone portable. Cette initiative date de 2010.
Le Groupement des cartes bancaires CB a mis en place des normes afin d'assurer l'« interbancarité » des cartes de paiement et des téléphones mobiles sans contact. Une carte bancaire est compatible sans contact si un pictogramme figure sur le recto de la carte, près de la puce[34].
Bénéfices pour les banques
Avec le développement du paiement sans contact, les consommateurs utilisent de plus en plus leur carte bancaire pour régler leurs petits achats au détriment du paiement par espèces. Or, sur chaque paiement par carte bancaire, la banque du commerçant prélève une commission[35]. Le paiement sans contact permet aux banques de prélever des commissions sur des achats qui auparavant leur échappaient.
Bénéfices pour les commerçants
Temps de transaction diminué[36] : 10 à 15secondes économisées par action ;
Revenu augmenté[36] : résultat du temps de transaction diminué et somme dépensée plus importante que le paiement en espèces ;
Efficacité de l'opération augmentée et diminution de ses coûts[37] : moins de gestion d'espèces et risque diminué de vols ;
Meilleure prise en compte des profils des clients[37] : collecte et exploitation des données de clients facilitées ;
Visibilité de la marque de l'enseigne[37] : marque visible sur les outils d'encaissement ;
Différenciation concurrentielle[37] : apporte un moyen supplémentaire aux utilisateurs d'acheter.
Bénéfices pour les émetteurs de cartes de paiement
La technologie permettant le paiement sans contact est principalement basée sur la Radio Frequency Identification (RFID)[39].
La RFID est un moyen de communication de données et d'identification automatique[39].
Il y a plusieurs gammes de fréquence dans les caractéristiques de la RFID selon la norme ISO/CEI 18000[note 1],[40], comme :
Les tags ou étiquettes RFIDUHF à 900 MHz possèdent des antennes imprimées ou gravées. Ils peuvent être lus à plusieurs mètres[41]. L'eau ou le métal peuvent empêcher la communication, du fait de la fréquence utilisée mais aussi des design particuliers d’antenne. Les fréquences UHF réservées à la RFID n’étant pas harmonisées dans toutes les régions du monde (entre 860 et 960MHz), les tags doivent généralement présenter des bandes passantes importantes qui réduisent leurs performances[42].
Les tagsRFIDLF 125 kHz-135 kHz sont adaptés aux applications de logistique, traçabilité et le marquages des êtres vivants (chiens, chats…). Les caractéristiques physiques de ces tags, d'un poids et une taille réduits, font d'eux des candidats idéaux pour être intégrés dans tout type de matériaux, textiles, métaux, plastiques, etc.[43]
Les tagsRFIDHF 13,56 MHz sont utilisés dans des applications de transport (bagages) et d’identité (passeport, pass Navigo, cartes sans contact)[44]. Cette technologie est à la base des applications NFC qui équipe de plus en plus de smartphones[45].
Une autre approche de la technologie du paiement sans contact est le NFC[46]. NFC est une technologie sans fil à courte portée provenant de la famille RFID[47], elle a été normalisée et promue par Sony, Philips et Nokia, qui ont fondé le NFC Forum en 2004[45].
ISO-15693 standard les informations en dessous correspondent au mifare classic qui est un type a part, voir la page NFC anglaise
Utilité
Ecriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule
Ecriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule
Pre-configuré lors de la fabrication pour être soit lu et relu en écriture ou en lecture seule
Pre-configuré lors de la fabrication pour être soit lu et relu en écriture ou en lecture seule
Écriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule
Mémoire
96 bytes de mémoire, extensible jusque 2 KiB
96 bytes de mémoire, extensible jusque 2 KiB
Mémoire variable, jusque 1 MiB par service
Mémoire variable, jusque 32 KiB par service
Mémoire variable 192/768/3 584 Bytes
Débit (vitesse)
106 kbit/s
106 kbit/s
Deux débits de communication 212 ou 424 kbit/s
Trois débits de communication 106, 212 ou 424 kbit/s
106 kbit/s
Collision
Pas de protection des collisions de données
Anti-collision
Anti-collision
Anti-collision
Anti-collision
Compatibilité
Topaz, Broadcom BCM20203
NXP MIFARE Ultralight
Sony FeliCa
NXP DESFire, SmartMX-JCOP
NXP MIFARE Classic 1k, MIFARE Classic 4K, and Classic Mini
Les caractéristiques correspondantes aux normes NFC sont[50] :
Une fréquence de 13,56 MHz ;
Un taux de transfert estimé à 424 kbit/s ;
Une distance de communication de 0 à 10cm ;
Une connexion par simple mouvement ou contact (touché) ;
Compatible avec le Bluetooth ou le Wi-Fi, la technologies NFC peut intégrer divers appareils comme les smartphones pour le paiement sécurisé ou le transfert d'images entre appareils photos.
Support
Téléphones compatibles.
Un appareil qui utilise la technologie NFC peut être configuré de deux façons :
actif : le dispositif est alimenté par lui-même et émet les ondes ;
passif : l'appareil est alimenté par des ondes reçues par un second appareil actif.
Deux différentes communications peuvent donc être configurées.
Entre deux périphériques actifs, le champ est généré en alternance.
Entre un dispositif actif et l'autre passif, le champ sera généré uniquement par le dispositif actif[51].
Selon les normes NFC, il y a trois modes de fonctionnement différents :
Reader/Writer mode : Le dispositif NFC est capable de lire des tags (étiquettes) NFC passives normalisées par le NFC Forum. Ce mode de lecture / écriture via l'interface RF est conforme à la norme ISO 14443. Il existe aussi un système similaire mais non compatible : FeliCa[47] ;
Card Emulation mode : L'appareil (par exemple un smartphone) peut émuler une carte NFC sans adaptateur d'infrastructure de paiement. Les cartes et étiquettes ((en) : tags) sont techniquement proches, mais les cartes sans contact utilisées dans les paiements intègrent des technologies supplémentaires pour stocker des données sécurisées[47] ;
Peer-to-peer (P2P) mode : Deux dispositifs NFC actifs peuvent échanger des données, tels que des cartes de visite virtuelles ou des photos numériques. Le mode P2P est normalisé par la norme ISO / IEC 18092 standard[47],[52].
Un smartphone pourra donc tenir le rôle de support physique actif ou/et passif tandis que les smart cards sont uniquement passives, comme les supports avec une étiquette RFID et une antenne sans batterie. Les nouveaux téléphones sont équipés de la technologie NFC compatible avec les puces RFID. De plus, certains smartphones peuvent émuler des cartes en inscrivant des données sur le tag embarqué de l'appareil[45]. Ces téléphones compatibles sont de plus en plus nombreux. En voici une liste non exhaustive[53].
L'impact de ces smartphones est de plus en plus grand, et ils deviendront probablement le nouveau portefeuille électronique, remplaçant la carte de crédit en plastique[54].
Un problème est que l'écosystème de paiement reste souvent lié à Google Wallet pour les smartphonesAndroid, c'est pour cette raison que d'autres systèmes de micro-paiement permettent d'utiliser des écosystèmes différents, tel que Apple Pay. De plus, le niveau de sécurité reste identique sans ajout de composants physiques, mais simplement par téléchargement d'une application. Un autre système se nomme IDA-Pay[54].
La somme maximale d'une transaction sans besoin de code étant limitée à 50 € en France, 30 £ au Royaume-Uni ou encore 100 $ CA au Canada. Cela limite l'importance des transactions usurpées.
La fraude est très rare : au Royaume-Uni, elle a représenté 51 000 £ pour le premier semestre 2014 : 0,007 % des paiements sans contact.
En France, l'Observatoire de la sécurité des moyens de paiement indique un taux de fraude de 0,019% soit le double d'une transaction avec code et un peu plus faible qu'un retrait au distributeur (avant l'augmentation du montant du sans-contact de 30 à 50 €). Néanmoins, en cas de blocage de la carte après la perte ou le vol de la carte, le sans-contact ne se bloque pas et continue à fonctionner jusqu'à que la limite de 5 transactions ou 250€ cumulées soient atteintes. Mais le consommateur ne subit aucun préjudice financier pour les transactions qu'il n'a pas effectuées, sauf en cas de fraude, et le commerçant conserve sa garantie de paiement[23],[55]. Ce risque est donc assumé par les émetteurs des cartes.
Évolution du niveau de système de sécurité
La sécurité n'est pas une composante prévue initialement pour la technologie RFID classique. La Mifare Card a donc été créée pour ajouter une fonction de sécurité à la RFID. Cependant, la MIFARE Card Classic ne présente pas une réelle sécurité. En effet sa fonction de sécurité est assurée par Crypto-1. Le principe de Crypto-1 est basé sur la sécurité par l'obscurité, le fonctionnement étant de dissimuler les informations relatives au fonctionnement du procédé de sécurité.
Ce principe de sécurisation n'est pas réputé suffisant, car il va notamment à l'encontre du principe de Kerckhoffs (si le système de chiffrement est public, largement étudié, et qu'aucune attaque n'est connue, alors le système est d'autant plus sûr)[56].
C'est pour cette raison que Philips a créé, en 2002, la Mifare DesFire pour résoudre le problème des MiFare Classic et Ultralight.
Ce système repose sur AES ou 3DES. Cependant le problème est qu'il se fonde sur un chiffrement symétrique, ce qui oblige les cartes et les lecteurs de cartes à partager un secret. Cela oblige à initialiser les lecteurs avec une seule clé, ce qui n'est pas très sécurisé.
Les risques de failles de sécurité des smart cards sont assez faibles[58]. En effet, la technologie NFC permet une communication autour d'un champ avoisinant les 10 cm. Des personnes peuvent alors tenter d'atteindre les données des utilisateurs par un simple contact[59].
Les smart cards mettent en œuvre des fonctions de sécurité à données chiffrées. Les applications qui utilisent les cartes à puce assurent l'intégrité, la confidentialité des informations[58], ainsi que les points suivants :
Authentification mutuelle : les deux supports vont prouver leur authenticité avant de lancer une transaction sécurisée[58] ;
Sécurité forte de l'information : les données et la communication sont chiffrées pour éviter l'espionnage. On utilise alors le hachage ou la signature numérique avec des clés de chiffrement dynamiques[58] ;
Sécurité forte de la smart card : une smart card est difficile à cloner ou à dupliquer. Les puces incluses dans les cartes permettent de détecter les tentatives de sabotage grâce aux matériels ou logiciels (des capteurs peuvent détecter des attaques thermiques ou UV)[58] ;
Authentifications et accès à l'information autorisé : la smart card permet un accès unique aux informations authentifiés pour protéger l'accès à d'autres informations personnelles[58] ;
Protection contre la tentative de reconnexion : la smart card peut générer des données dynamiquement à chaque connexion pour empêcher les fraudeurs de tenter de lire une carte plusieurs fois[58] ;
Authentification biométrique : seuls les utilisateurs disposant d'une correspondance biométrique stockée sur la smart card peuvent bénéficier d'un accès aux données[58].
Risques éventuels
Au cours de la conférence de Sécurité Hackito Ergo Sum 2012, un consultant de British Telecom, Renaud Lifchitz a montré la faiblesse des cartes de paiement sans contact, notamment en montrant la possibilité de lecture (jusqu'à une distance de 1,5 mètre avec un amplificateur et une antenne)[60] de certaines informations contenues sur la carte sans protection particulière : numéro de carte, possesseur, derniers paiements, et date d'expiration[61].
Après une étude menée durant l'été 2012, la CNIL a confirmé la possibilité d'intercepter certaines données à distance[62], et obtenu des industriels du secteur la suppression des informations sur le porteur de la carte (effectif sur les cartes éditées à compter de fin 2012) et sur l'historique des achats (effectifs sur les cartes éditées à compter de fin 2013)[62]. Restent donc récupérables sans contact les informations : numéro de carte et date d'expiration, ces informations étant indispensables pour l’opération de paiement (identification de la carte).
L'attaque par relais est un type d'attaque permettant aux attaquants d'utiliser le module NFC d'une personne dans le but d'effectuer un achat à distance. L'attaquant dispose d'un lecteur de carte relié à un dispositif de communication permettant d'émuler à distance une carte, qui est en réalité la carte initiale de l'acheteur. De l'autre côté, la carte émulée sert à effectuer une opération non voulue[63].
Sources bibliographiques référencées dans le texte
(en) Smart Card Alliance, Contactless Payment and the Retail Point of Sale : Applications, Technologies and Transaction Models, , 50 p. (lire en ligne [PDF])
(en) Izabela Lacmanovi, Biljana Radulovi et Dejan Lacmanovi, Contactless payment systems based on RFID Technology, IEEE, (ISBN978-1-4244-7763-0, lire en ligne)
(en) Luca Mainetti, Luigi Patrono et Roberto Vergallo, IDA-Pay: an innovative micro-payment system based on NFC technology for Android mobile devices, IEEE, , 6 p. (lire en ligne)
(en) T. W. C. Brown et T. Diakos, On the design of NFC antennas for contactless payment applications, IEEE, , 3 p. (ISBN978-1-4577-0250-1, lire en ligne)
Carine Boursier et Pierre Girard, Procédé et dispositif comportemental, destinés à prévenir l’utilisation d’un objet portable sans contact à l’insu de son porteur, (lire en ligne [PDF])
(en) International Standard, Identification cards -Contactless integrated circuit(s) cards -Proximity cards - Part 1: Physical characteristics (lire en ligne [PDF])
(en) International Standard et D. Baddeley, Identification cards -Contactless integrated circuit(s) cards -Proximity cards - Part 2: Radio frequency power and signal interface (lire en ligne [PDF])
(en) International Standard et D. Baddeley, Identification cards -Contactless integrated circuit(s) cards -Proximity cards - Part 3: Initialization and anticollision (lire en ligne [PDF])
(en) International Standard et Hauke Meyn, Identification cards -Contactless integrated circuit(s) cards -Proximity cards - Part 4: Transmission protocol (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18092 : Information technology — Telecommunications and information exchange between systems — Near Field Communication — Interface and Protocol (NFCIP-1), , 66 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 1 : Reference architecture and definition of parameters to be standardized, , 73 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 2 : Parameters for air interface communications below 135 kHz, , 71 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 3 : Parameters for air interface communications at 13,56 MHz, , 145 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 4 : Parameters for air interface communications at 2,45 GHz, , 98 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 6 : Parameters for air interface communications at 2,45 GHz, , 134 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 18000 : Information technology — Radio frequency identification for item Management - Part 7 : Parameters for active air interface communications at 433 MHz, , 20 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 15693 : Identification cards - Contactless integrated circuit(s) cards Vicinity cards - Part 1 : Physical characteristics, , 6 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 15693 : Identification cards - Contactless integrated circuit(s) cards Vicinity cards - Part 2 : Air interface and initialization, , 13 p. (lire en ligne [PDF])
(en) International Standard, ISO/IEC 15693 : Identification cards - Contactless integrated circuit(s) cards Vicinity cards - Part 3 : Anticollision and transmission protocol, , 44 p. (lire en ligne [PDF])
(en) Nokia, Introduction to NFC, , 30 p. (lire en ligne [PDF])
(en) NXP by Philips, INTRODUCTION TO NFC (Near Field Communication), , 33 p. (lire en ligne [PDF])
(en) Ecma International, Near Field Communication Interface and Protocol -2 (NFCIP-2), , 5 p. (lire en ligne [PDF])
(en) Mainetti, Patrono et Vergallo, IDA-Pay: an innovative micro-payment system based on NFC technology for Android mobile devices, IEEE, , 6 p. (ISBN978-1-4673-2710-7, présentation en ligne)
Autres sources bibliographiques
(en) Emil Hubinak, Miroslav Florek et Michal Masaryk, Systems and methods for contactless payment authorization US 8,275,364 B2, , 7 p. (lire en ligne)
(en) Jean-Louis Moreau, Contactless payment method and device, using a re-usable card, , 7 p. (lire en ligne)
(en) Frank Thornton et Chris Lanthem, RFID Security : [protect the supply chain], Rockland, Syngress Publishing, , 448 p. (ISBN978-1-59749-047-4, lire en ligne)
(en) Frank Thornton et Paul Sanghera, How to Cheat at Deploying and Securing RFID, Rockland, Mass./Oxford, Syngress / Elsevier Science distributor, , 362 p. (ISBN978-1-59749-230-0, lire en ligne)