Authentification forte : à quel chantier s’attellent les banques ?

Le volet de l’ouverture des données de transactions bancaires a été mis sur le devant de la scène, notamment à la suite des longues tractations entre établissements financiers et prestataires tiers (TPPs) quant aux parcours clients et APIs. Mais un autre pan de la DSP2 demande aux banques des investissements considérables et des choix stratégiques : celui de l’authentification forte (SCA).

Exit la méthode OTP SMS

La DSP2 prévoit que tous les paiements électroniques devront désormais être authentifiés fortement. L’authentification forte nécessite de passer par au moins deux des trois méthodes suivantes : connaissance (comme un mot de passe ou code PIN), possession (comme un smartphone ou token), caractéristique personnelle (facteurs biométriques comme l’empreinte digitale, par exemple). Pour le paiement en magasin, les processus actuels sont déjà conformes DSP2 (avec le code PIN, pour la connaissance, et la puce de la carte bancaire, pour la possession). Même chose pour le paiement mobile, avec le code (connaissance) et l’empreinte digitale (caractéristique personnelle). Et le marché sait déjà gérer les exemptions, pour les petits montants par exemple.

Mais pour le paiement en ligne, le marché est loin d’être prêt. En 2018, l’Autorité bancaire européenne (EBA) a décrété que la solution utilisée largement par le marché français, le SMS OTP (One-Time Password), qui consiste à rediriger vers une page de la banque et à y entrer un code temporaire reçu par SMS pour s’authentifier, n’était pas assez sécurisée pour constituer l’une des méthodes d‘authentification forte au sens de la DSP2.

Dans son rapport annuel publié mi-2018, l’Observatoire de la sécurité des moyens de paiement évoquait en effet plusieurs faiblesses. “Le canal de communication utilisé lors de l’envoi du SMS ne fait pas l’objet de mesures de sécurité adaptées à la transmission de données sensibles et la possibilité d’usurper la ligne de téléphonie mobile du titulaire du compte peut permettre au fraudeur de recevoir les SMS d’authentification sans que le titulaire du compte ne s’en aperçoive”, avertissait alors cette instance présidée par le gouverneur de la Banque de France.