Quant au banques, si au moins elles n'obligeaient pas à utiliser des applis merdiques et propriétaires pour le 2FA... Et encore ils n'ont pas osé à la CÉ (ils sont en retard mais bon, c'est pas nouveau).
DSP2 impose(ra) forcément du « propriétaire » à ce niveau.
Plus exactement il impose une 2FA « contextuelle » pour éviter les man-in-the-middle. Ça suppose d’afficher des données supplémentaires à l’OTP pour que l’utilisateur puisse identifier de manière fiable le demandeur de l’OTP.
Dans le cas d’une validation de virement ou de paiement, c’est par exemple le montant de la transaction ainsi que son destinataire, pour éviter un attaquant qui ferait proxy et te débiterait le montant qu’il souhaite à son propre profit si on se limitait au seul OTP.
Dans celui de la connexion, ça pourrait être l’affichage d’un symbole spécifique connu uniquement de toi et de ta banque. Une banque belge dont j’ai perdu le nom avait implémenté ça dans un token OTP matériel d’ailleurs, mais je n’en retrouve plus la référence...
En pratique ça demande(ra) donc du développement spécifique à chaque banque et même si la théorie derrière est libre et commune (T-OTP), chaque banque risque d’avoir sa propre application ou fonctionnement pour couvrir ce besoin de « contextualisation ».
C’est même la raison n°1 de pourquoi les banques préfèrent encore violer la DSP-2 et ont demandé une rallonge de 2 ans pour continuer avec le SMS, elles n’ont actuellement pas de solution conforme à disposition.
[^] # Re: À jour ?
Posté par Aeris (site web personnel) . En réponse au journal Quand la Caisse d'Épargne force ses clients à réactiver des protocoles de sécurité obsolètes. Évalué à 6. Dernière modification le 20 juillet 2020 à 11:31.
DSP2 impose(ra) forcément du « propriétaire » à ce niveau.
Plus exactement il impose une 2FA « contextuelle » pour éviter les man-in-the-middle. Ça suppose d’afficher des données supplémentaires à l’OTP pour que l’utilisateur puisse identifier de manière fiable le demandeur de l’OTP.
Dans le cas d’une validation de virement ou de paiement, c’est par exemple le montant de la transaction ainsi que son destinataire, pour éviter un attaquant qui ferait proxy et te débiterait le montant qu’il souhaite à son propre profit si on se limitait au seul OTP.
Dans celui de la connexion, ça pourrait être l’affichage d’un symbole spécifique connu uniquement de toi et de ta banque. Une banque belge dont j’ai perdu le nom avait implémenté ça dans un token OTP matériel d’ailleurs, mais je n’en retrouve plus la référence...
En pratique ça demande(ra) donc du développement spécifique à chaque banque et même si la théorie derrière est libre et commune (T-OTP), chaque banque risque d’avoir sa propre application ou fonctionnement pour couvrir ce besoin de « contextualisation ».
C’est même la raison n°1 de pourquoi les banques préfèrent encore violer la DSP-2 et ont demandé une rallonge de 2 ans pour continuer avec le SMS, elles n’ont actuellement pas de solution conforme à disposition.