Quelles données une carte sans contact contient-elle ?
Des clés et des compteurs qu'elle ne livrera jamais, plus ce dont l'application de paiement accepte de répondre. La correction qui compte est qu'une carte n'est pas un fichier : c'est un petit ordinateur qui choisit ce qu'il révèle, et la face imprimée en dit d'ordinaire davantage.
Ce qu'elle contient
Des clés cryptographiques, qui n'en sortent en aucune circonstance et qui fondent chacune des garanties offertes par la carte.
Des compteurs et un état, qui lui permettent de produire une valeur propre à chaque opération au lieu de se répéter.
Une application de paiement, c'est-à-dire un logiciel doté de règles sur ce à quoi il répond et à qui.
Et des informations d'identification que l'émetteur y a placées, dont l'étendue relève de l'émetteur et du réseau plutôt que d'une liste fixe.
Ce qu'elle accepte de livrer
À un terminal agréé menant une opération, ce que le réseau exige pour cette opération.
À une application généraliste sur un téléphone, très peu : qu'une carte est présente, la technologie qu'elle emploie, et l'identifiant employé pendant la sélection.
La raison n'est pas que l'application manquerait d'une technique astucieuse. C'est que l'application de paiement n'est tenue de répondre à aucun logiciel qui ne soit pas un terminal, et qu'elle ne le fait pas.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
La face imprimée
Le numéro, le nom et la date d'expiration sont imprimés sur la plupart des cartes et visibles de quiconque en regarde une.
Ce qui veut dire que l'exposition qui inquiète par la radio est en général plus petite que celle de tendre sa carte à quelqu'un, ou de la laisser photographier.
Des cartes sans impression au recto existent précisément pour cette raison, et elles traitent la voie réaliste plutôt que la voie imaginée.
Les deux faits méritent d'être tenus ensemble : la puce est avare, le plastique ne l'est pas.
Ce que montrent les démonstrations
Il existe des démonstrations montrant qu'on lit davantage que la description ci-dessus ne le laisse croire, et elles sont d'ordinaire authentiques.
Ce qu'elles montrent en général, c'est que certaines cartes, historiquement, exposaient plus que nécessaire, ce qui relève de choix d'émetteurs et de générations de cartes plutôt que du mécanisme.
Les prendre pour l'état normal des choses est une erreur, et y voir la preuve que le paiement n'est pas sûr en est une plus grande.
La question à poser devant une telle démonstration est ce qu'on pourrait faire de ce qui a été obtenu, et la réponse est d'ordinaire rien.
Questions fréquentes
Une application peut-elle lire mon numéro de carte ?
Une application généraliste obtient très peu : qu'une carte est présente, sa technologie et l'identifiant de sélection. L'application de paiement refuse le reste.
Qu'y a-t-il d'important sur la carte ?
Des clés qui n'en sortent jamais, et un état qui fait produire à chaque opération une valeur unique. Ni l'un ni l'autre ne s'obtiennent.
La face imprimée expose-t-elle davantage ?
En général oui. Le numéro, le nom et l'expiration sont visibles de quiconque regarde, et aucune précaution radio n'y change rien.
Et les vidéos où l'on lit des données de carte ?
Certaines cartes exposaient historiquement plus que nécessaire. La question est ce qu'on pourrait en faire, et la réponse est normalement rien.