Quelle norme s'applique à une carte bancaire sans contact ?
La couche radio est ISO/IEC 14443, la même que celle des tags NFC, ce qui explique que votre téléphone remarque la carte. Au-dessus se trouve une application de paiement spécifiée par EMVCo, et la piloter suppose d'être un terminal de paiement, avec les relations que cela implique.
Deux couches, deux propriétaires
En dessous, une carte sans contact est un appareil ISO/IEC 14443. Elle est alimentée par le champ du lecteur, elle répond par modulation de charge, et elle exécute le protocole de transmission qu'Android expose sous le nom ISO-DEP. Tout cela est partagé avec les tags NFC ordinaires.
Au-dessus se trouve une application de paiement spécifiée par EMVCo, l'organisme détenu par les grands réseaux de cartes. C'est à cette couche que se passe tout ce qui a du sens, et elle est régie par des règles étrangères au NFC Forum.
Ce que voit une application ordinaire
Très peu, et moins que ne le laisse croire internet.
Une application généraliste peut établir qu'une carte est présente, identifier la technologie et lire l'identifiant employé pendant la sélection. Au-delà, elle s'adresse à une application de paiement qui refusera de répondre à tout ce à quoi elle n'est pas tenue de répondre, face à un logiciel qui n'est pas un terminal.
Des démonstrations montrant davantage existent, et ce qu'elles montrent surtout, c'est que certaines cartes ont historiquement exposé plus que nécessaire. Prendre cela pour l'état normal des choses est une erreur, et y voir un motif d'alarme en est une plus grande.
Pourquoi personne ne débite votre carte en passant
Trois conditions doivent être réunies simultanément pour que de l'argent bouge, et un attaquant muni d'un téléphone dans une foule n'en réunit aucune.
La carte doit se trouver à quelques centimètres, contrainte physique qu'aucun logiciel ne lève. L'échange doit provenir d'un terminal accrédité, car la transaction doit atteindre une banque acquéreuse qui ne l'acceptera que d'un commerçant qu'elle connaît. Et la carte exécute un échange cryptographique dont le résultat est propre à cette transaction, si bien que l'enregistrement d'une précédente ne vaut rien.
Le risque qui subsiste est réel mais de forme différente de celle qu'on imagine : il concerne des commerçants frauduleux plutôt que la proximité, et il est traité par le système bancaire plutôt qu'en blindant votre portefeuille.
Ce qui change quand la carte est votre téléphone
Quand un téléphone paie, il présente une application de paiement issue d'un élément sécurisé plutôt qu'une carte plastique, par émulation de carte. Le terminal voit quelque chose qui se comporte comme une carte.
Ce qui diffère est la protection autour. Une carte est disponible pour tout terminal contre lequel on la présente. Un téléphone exige typiquement un déverrouillage ou une vérification biométrique au préalable, ce qui ajoute une étape qu'aucune carte plastique ne peut offrir. C'est la différence de sécurité substantielle entre les deux, et elle favorise le téléphone.
Questions fréquentes
Une application NFC peut-elle lire mon numéro de carte ?
Certaines cartes ont historiquement exposé plus de données que nécessaire aux applications qui les demandent, et cela a été démontré. Ce n'est ni universel ni ce que la spécification prévoit, et cela ne permet pas un paiement, puisqu'une transaction exige un cryptogramme que la carte ne produit que pour un échange réel.
Les portefeuilles anti-RFID me protègent-ils ?
Ils empêchent effectivement la lecture d'une carte, en gâchant le couplage plutôt qu'en bloquant une onde. Savoir si cela traite un risque qui mérite d'être traité est une autre question, vu que la portée est de quelques centimètres et qu'une transaction exige un terminal accrédité.
Pourquoi mon téléphone détecte-t-il la carte sans rien montrer d'utile ?
Parce qu'il a atteint l'application de paiement et s'est fait refuser. La détection se joue à la couche radio, qui est ouverte, et tout ce qui est au-dessus obéit à des règles qui excluent les logiciels généralistes.
Une carte sans contact est-elle un tag NFC ?
Elle partage la couche radio et n'est pas un tag. Un tag livre un contenu stocké, une carte exécute un protocole. C'est pourquoi une application qui lit parfaitement les tags ne fait rien d'utile avec une carte bancaire.