URL: https://linuxfr.org/users/anonyme/journaux/securite-et-authentification-des-sites-bancaires Title: Sécurité et authentification des sites bancaires. Authors: Anonyme Date: 2017年03月20日T12:18:54+01:00 License: CC By-SA Tags: sécurité, site, banque, authentification, token, site_bancaire et dsp2 Score: 21 Bonjour, dernièrement alors que je me connectais à mon interface client sur le site de ma banque (ING Direct), je me suis posé la question de la robustesse de leur système d'authentification. En effet pr se connecter et s'authentifier il faut : - étape 1 : donner son compte client, et sa date de naissance - étape 2 : donner 3 chiffres, sur les 6 que composent son code secret. Les 3 chiffres à donner variant à chaque nouvelle connexion, ie le système demande par exemple les chiffres en position (1,4,6) puis la fois suivante (2,3,5) etc... via un clavier virtuel. Le tout étant encapsulé dans du https/SSL évidemment. J'ai pas fait de calcul, mais j'ai trouvé après réflexion assez faible (au moins en apparence, ce n'est que mon avis de profane). Les infos demandées en étape 1 étant assez facile à trouver (ex. un employé mal intentionné). Et pour l'étape 2, là où les autres banques demandent 6 chiffres, ING n'en demande que 3, ce qui avec un peu de chance pourrait être trouvé (après je pense qu'ils doivent bloquer après 3 tentatives infructueuses). Pour aller plus loin dans ma réflexion, je me suis posais la question suivante : - pourquoi les banques n'autorisent elles pas les mot de passe avec une suite de caractères (chiffres, lettres, symboles) ? (Je me doute que derrière ça doit avoir un impact sur les gros systèmes qui hébergent les applis métier) - pourquoi ne généralisent-elles pas l'authentification en 2 étapes, soit avec un token physique, ou via l'envoi d'un SMS ? Là où tous les webmails ou sites "sérieux" le proposent, elles accusent un temps de retard je trouve à ce niveau là. Voilà je me posais ces questions.