Re: Enregistrement d'une carte bancaire sur l'App Store

[Patrick Stadelmann]

In article <BsadnSS21bys3vTM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> Ma carte bancaire venant d'�tre renouvel�e, je me rends sur l'App Store
> pour enregistrer les nouvelles informations. A cette occasion, on me
> demande le cryptogramme de la carte (vous savez, ce num�ro figurant au
> dos de celle-ci qui permet de faire des achats sur Internet sans avoir �
> fournir son mot de passe). Et pas moyen d'enregistrer la nouvelle carte
> si l'on n'entre pas le fameux cryptogramme, la modification est refus�e.

Normal, le code sert justement � cela : �viter qu'on puisse utiliser une
carte sans le conna�tre ! Mais je ne pense pas qu'il soit conserv�, car
certains �metteurs de carte de cr�dit interdise explicitement de le
faire.

Pas s�r non plus que les autres informations soient conserv�es. On peut
tr�s bien imagin� qu'apr�s la validation initiale, l'�metteur de la
carte renvoie un jeton (token) li� � la carte et au vendeur, jeton qui
sera utilis� en lieu et place des informations de la carte pour les
transactions futures.

Patrick
--
Patrick Stadelmann <Patrick.S...@unine.ch>

[ST]

On 2013-04-13, Lionel Mychkine <mych...@nowhere.invalid> wrote:

> Alors je m'interroge. La firme Apple est donc absolument sûre que ses
> serveurs ne seront jamais piratés ? Parce que les fraudeurs auraient
> tous les paramètres nécessaires pour faire des achats à bon compte sur
> Internet, sur le dos des clients d'Apple.

La sécurité des cartes de crédits n'est pas fonctionnelle. Il me suffit
de voir ta carte une fois pour connaitre ton numéro, la date
d'expiration et le cryptogram. Il n'y a rien de secret, tout est en
clair, affiché sur la carte.

Toute la sécurité repose sur le fait que tu vas checker ton relevé de
carte de crédit et que tu vas faire opposition sur les transactions
louches.

Il faut savoir qu'aux US, la carte n'est pas liée forcément à ton compte
banquaire, tu reçois un relevé et tu le payes par chèque. À Singapour
(ou je vis), ça fonctionne aussi comme ça. Perso, j'utilise une carte à
débit immédiat avec un compte dédié sur le quel je ne laisse que peu
d'argent. La fraude ne peut pas dépasser le montant du crédit du compte.

[Patrick Stadelmann]

In article <YNidnXdPt7aZyfTM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> In article
> <Patrick.Stadelmann-C...@news.individual.net>,

> Patrick Stadelmann <Patrick.S...@unine.ch> wrote:
>
> > Normal, le code sert justement � cela : �viter qu'on puisse utiliser une
> > carte sans le conna�tre !
>

> A ceci pr�s que le cryptogramme doit �tre connu du titulaire de la carte
> et de personne d'autre. Pourquoi dans ces conditions le communiquer �
> Apple ?

De la m�me mani�re que tu "communiques" ton code NIP au terminal de
payement quand tu fait un achat dans un magasin : cela t'identifie.

Pour les transaction �lectronique, on ne peut pas s'identifier. Pour
r�duire le risque de fraude (obtention frauduleuse des num�ro + date
d'expiration de la carte), on utilise en plus le cryptogramme, car
contrairement aux autres informations, il n'est pas enregistr� sur la
piste magn�tique de la carte. La tactique standard de piratage de carte
(terminal de payement trafiqu� pour r�cup�rer le contenu de la piste
magn�tique) ne permettrait donc pas d'y avoir acc�s.

> Pourquoi le demander dans ce cas ?

Parce que �a "prouve" que tu as bien la carte sous les yeux, et pas
simplement les donn�es r�cup�r�es sur la bande magn�tique.

> Et puis on sait tous qu'il suffit que
> Visa ou Mastercard interdisent de conserver ce code pour que tous les
> commer�ants de la plan�te respectent religieusement leurs directives, le
> doigt sur la couture du pantalon.

J'en sais rien, mais en cas de fraude s'il s'av�re que cette directive
n'a pas �t� respect�e, l'�metteur de la carte pourrait se retourner
contre le vendeur.

> > Pas s�r non plus que les autres informations soient conserv�es [...]
>
> Mais alors, pourquoi les demander ?

Ca tombe sous le sens : pour pouvoir les v�rifier aupr�s de l'�metteur
de la carte.

> En quoi le fait de d�tenir le cryptogramme sous forme de token change
> quoi que se soit aux probl�mes de s�curit� que j'ai �voqu�s ?

Si un pirate r�cup�re les informations brutes chez un vendeur, il pourra
essayer de les exploiter. Si tout ce qu'il obtient c'est un jeton, il ne
pourra rien en faire.

> Que l'on me demande le cryptogramme � l'occasion d'un achat, c'est bien
> normal puisque justement ce code sert � s�curiser la transaction, tant
> vis � vis du client que du commer�ant. Mais il n'est pas normal que ce
> code soit stock� chez mon fournisseur, qu'il soit en l'�tat ou sous
> forme de ��token��.

Il n'est tr�s probablement pas stock� du tout. L'�metteur de la carte a
simplement not� qu'un jour Apple a �t� en mesure de fournir ce
cryptogramme, ce qui signifie que tu l'as transmis � Apple et que donc
tu es un client d'Apple.

> Que dirais-on si un commer�ant demandait le code
> confidentiel � quatre chiffres de la carte bancaire d'un individu,
> quelques soient les motifs invoqu�s ?

Il le fait par l'interm�diaire de son terminal de payement pour pouvoir
le transmettre � l'�metteur de la carte.

Exactement comme Apple, par l'interm�diaire de ses serveurs, te demande
le cryptogramme !

[ST]

On 2013-04-13, Lionel Mychkine <mych...@nowhere.invalid> wrote:

> A mon humble avis, il incombe aux banques de garantir la sécurité des
> cartes qu'elles émettent. Ce n'est pas au client de le faire en
> surveillant ses relevés.

Mais la banque te remboursera toute fraude detectée, ils feront même
tout plein d'efforts pour détecter de la fraude. Mais très souvent, le
cout est porté au marchand.

[Patrick Stadelmann]

In article <1oydnR-bc6Ek8_TM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> Quand on fournit son cryptogramme � Apple, cette derni�re poss�de une
> information en clair. Ce n'est pas comparable.

Dans les deux cas, tu dois faire confiance ou non au vendeur, �a n'est
pas si diff�rent.

> Et �a sert � quoi que l'�metteur sache qu'un jour j'ai �t� client
> d'Apple. J'ai l'impression de ne voir que la partie �merg�e de l'iceberg.

Ca lui permet d'autoriser les achats futurs sans demander au vendeur de
refournir toutes les informations de la carte, en particulier ce
cryptogramme que le vendeur n'a pas le droit de stocker. Sans cela,
Apple devrait te le demander � chaque fois. Certains vendeurs le font,
ce qui est moins pour l'utilisateur, et qui laisse supposer que le
vendeur stocke le num�ro de carte et sa date d'expiration sur ses
serveurs, puisqu'il ne redemande pas ces informations.

[ST]

On 2013-04-13, Lionel Mychkine <mych...@nowhere.invalid> wrote:

> C'est bizarre, Amazon ne me demande pas ce cryptogramme lorsque
> j'enregistre une nouvelle carte. Il m'est par contre demandé à chacun de
> mes achats ce qui est « normal ».

Il n'y a pas de normalité sur ce point particulier, il est même tout à
fait possible de facturer ta carte sans ce code, c'est au marchant de
décider le niveau de sécurité le plus adapté.

Le cryptogram n'est pas stocké en général, il est simplement utilisé au
moment ou tu enregistres ta carte pour confirmer qu'il est correct. Une
fois que ta carte associée à ton compte est flaguée correcte, tu peux
l'utiliser jusqu'au prochain changement de carte.

Enfin, encore une fois, ce n'est pas une norme. C'est le marchant qui
endosse le gros de la fraude, c'est donc à lui de choisir la procédure
la plus sécurisée tout en restant le plus simple pour l'utilisateur
final.

[Patrick Stadelmann]

In article <24bo3a-...@unices.org>, ST <s...@unices.org> wrote:

> Il n'y a pas de normalité sur ce point particulier, il est même tout à
> fait possible de facturer ta carte sans ce code, c'est au marchant de
> décider le niveau de sécurité le plus adapté.

En effet. Des études ont montré que la complexité de la procédure a un
effet négatif sur le volume des ventes.

> Enfin, encore une fois, ce n'est pas une norme. C'est le marchant qui
> endosse le gros de la fraude, c'est donc à lui de choisir la procédure
> la plus sécurisée tout en restant le plus simple pour l'utilisateur
> final.

Il existe aussi des système plus sécurisés, où par exemple on enregistre
sa carte chez l'émetteur, en spécifiant un "message secret" et un mot de
passe. Lors du payement, le vendeur redirige sur ce site web, qui
s'authentifie en affichant le message secret. L'utilisateur entre alors
son mot de passe, ce qui valide la transaction.

[La Bete des Vosges (Francis Chartier)]

Le Sun, 14 Apr 2013 08:49:46 +0200, Patrick Stadelmann a écrit :

> Il existe aussi des système plus sécurisés, où par exemple on enregistre
> sa carte chez l'émetteur, en spécifiant un "message secret" et un mot de
> passe. Lors du payement, le vendeur redirige sur ce site web, qui
> s'authentifie en affichant le message secret. L'utilisateur entre alors
> son mot de passe, ce qui valide la transaction.

Au CIC, on reçoit une carte de sécurité personnelle (dont on peut
demander le renouvellement à sa convenance) de 8x8 codes à 4 chiffres
générés aléatoirement.

Lors d'une transaction en ligne suivant le type de sécurisation demandé
par le commerçant, on est redirigé sur un site https de sa banque, qui
demande à ce que l'on rentre le code de la case X:Y de cette carte.
C'est complété par un code de sécurité généré sur le moment et envoyé sur
une adresse email enregistrée lors de la création du compte, ou par sms.
Ce numéro est valide une heure il me semble et c'est seulement quand il
est rentré qur la page de la banque en complément du code provenant de la
carte que le commerçant est averti de la validation du paiement.

C'est contraignant, mais c'est plus sécurisé.
Bon, si on se trimballe avec la copie de la carte de sécurité sur le
smartphone qui recevra le sms de validation, ça va pas changer grand
chose.



--
La Bête des Vosges - Francis Chartier

[Patrick Stadelmann]

In article <7JudnQOx9v1ETPfM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> In article
> <Patrick.Stadelmann-7...@news.individual.net>,
> Patrick Stadelmann <Patrick.S...@unine.ch> wrote:
>
> > Il existe aussi des syst�me plus s�curis�s, o� par exemple on enregistre
> > sa carte chez l'�metteur, en sp�cifiant un "message secret" et un mot de

> > passe. Lors du payement, le vendeur redirige sur ce site web, qui
> > s'authentifie en affichant le message secret. L'utilisateur entre alors
> > son mot de passe, ce qui valide la transaction.
>

> Cela a �t� jug� trop contraignant par les utilisateurs. Je ne sais pas
> si on parle vraiment de la m�me chose, je pense au "Secure Code" des
> cartes Mastercard qui a fait long feu. L'�quivalent chez Visa est
> lui-aussi mort et enterr�.

Celui dont je parle est toujours employ� par Visa et MasterCard. Je
trouve que c'est un bon compromis qui se rapproche de l'utilisation
physique de la carte, le NIP �tant remplac� par le mot de passe, sans
n�cessit� autre chose que la carte (pas besoin de t�l�phone pour
recevoir un code SMS, ou de liste de num�ro, ...).

[Patrick Stadelmann]

In article <DN6dnWY_UYgvS_fM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> In article
> <Patrick.Stadelmann-D...@news.individual.net>,

> Patrick Stadelmann <Patrick.S...@unine.ch> wrote:
>
> > Ca lui permet d'autoriser les achats futurs sans demander au vendeur de
> > refournir toutes les informations de la carte, en particulier ce
> > cryptogramme que le vendeur n'a pas le droit de stocker. Sans cela,
> > Apple devrait te le demander � chaque fois.
>

> Ce cryptogramme, tu l'as dit toi m�me, permet de s'assurer que tu as
> bien la carte sous les yeux. S'il n'est plus demand�, la s�curit� qu'il
> repr�sente tombe � l'eau. Un fraudeur s'empare du contenu de la piste
> magn�tique d'une carte et fait ses achats sur Internet sans aucun
> probl�me puisqu'on ne lui demande pas le cryptogramme.

Non, car il faudrait que le fraudeur s'empare en plus de tes
identifiants sur le site du vendeur. Sinon, il devra l'enregistrer dans
son compte client � lui, et donc donner le cryptogramme.

[pehache]

Le 13/04/13 18:05, Patrick Stadelmann a �crit :

> In article <1oydnR-bc6Ek8_TM...@giganews.com>,
> Lionel Mychkine <mych...@nowhere.invalid> wrote:
>
>> Quand on fournit son cryptogramme � Apple, cette derni�re poss�de une
>> information en clair. Ce n'est pas comparable.
>
> Dans les deux cas, tu dois faire confiance ou non au vendeur, �a n'est
> pas si diff�rent.

M�me si trouves que ton �picier est un gars formidable, je ne suis pas
s�r que tu lui confierais le code PIN de ta carte de paiement.

[nosferatus]

MV wrote:

>Lionel Mychkine <mych...@nowhere.invalid> wrote:
>
>
>
>>Que l'on me demande le cryptogramme � l'occasion d'un achat, c'est bien
>>normal puisque justement ce code sert � s�curiser la transaction, tant
>>vis � vis du client que du commer�ant. Mais il n'est pas normal que ce
>>code soit stock� chez mon fournisseur,
>>
>>
>

>Je ne suis pas certain que le cryptogramme soit conserv� par Apple.
>Il doit �tre fourni � l'enregistrement de la CB pour valider le n� de
>carte comme c'est le cas chez la plupart des vendeurs Internet mais il
>ne semble pas conserv� par la suite : en tout cas, il n'appara�t pas
>quand je vais sur mon compte AppStore (par ailleurs, la date de validit�
>n'appara�t plus en clair).
>
>
Bonjour :-)
Je ne peux pas "confirmer" (ce serait savoir exactement ce qui se
passe), mais j'ai achet� plusieurs fois sur l'AppStore par t�l�phone et
j'ai donn� les trois caract�res du cryptogramme. Il n'y a eu aucune
cons�quence -type : d�bit - � part le d�bit de mon achat.
Mais c'est le seul commerce o� j'ai fait cela.

-- H�l�ne

[Gilbert OLIVIER]

L� il n'est pas question de cela, Apple ne te demande pas ton n� secret
mais comme tous les sites vendeurs au moment de payer le n�
d'itentification (non secret puisqu'imprim� sur la carte). Alors je ne
confie pas plus � Apple qu'� un autre � mon avis.

--
Gilbert

[Pierre-Alain Dorange]

Gilbert OLIVIER <gilbert...@orange.fr> wrote:

> > M�me si trouves que ton �picier est un gars formidable, je ne suis pas
> > s�r que tu lui confierais le code PIN de ta carte de paiement.
>
> L� il n'est pas question de cela, Apple ne te demande pas ton n� secret
> mais comme tous les sites vendeurs au moment de payer le n�
> d'itentification (non secret puisqu'imprim� sur la carte). Alors je ne
> confie pas plus � Apple qu'� un autre � mon avis.

Habituellement (la pluplart des achats en ligne), le code cryptogramme
est demand� � chaque achat et permet de valid� le d�bit. Le fournisseur
ne m�morisant que le code CB.

Ici Apple proc�de en m�morisant tout (code CB et cryptogramme), ce qui
permet de faire ensuite des achats sans validation, au niveau de la
carte, car il y a une sorte de validation avec l'identifiant Apple.

Ainsi en tant que consommateur dans ce cas tu transf�res la confiance
que tu fais � la banque au vendeur, c'est pas anodin quand m�me.

Comme il s'agit d'une pratique peu courante, il est possible (mais je
n'ai pas d'infos la dessus) que Apple ait n�goci� un pacte avec les
organisme bancaire (CB) pour avoir ce droit... Un peu comme les
autoroute qui ont aussi une exception puisqu'ils sont autoris� a d�biter
uniquement avec le code CB (pas de code PIN ni crypgramme demand�).

En tout le syst�me Apple n'est pas tr�s verrouill�, car ma CB est
expir�e depuis d�j� quelques temps et tout fonctionne bien (je ne fais
pas d'achats, j'utilise juste les services gratuits et logiciels
gratuits).

--
Pierre-Alain Dorange <http://microwar.sourceforge.net/>

Ce message est sous licence Creative Commons "by-nc-sa-2.0"
<http://creativecommons.org/licenses/by-nc-sa/2.0/fr/>

[Gilbert OLIVIER]

Pierre-Alain Dorange <pdor...@pas-de-pub-merci.mac.com> wrote:

> Habituellement (la pluplart des achats en ligne), le code cryptogramme
> est demand� � chaque achat et permet de valid� le d�bit. Le fournisseur
> ne m�morisant que le code CB.

Comme tu dis "habituellement" car de m�moire il me semble que Amazone
par exemple ne le demande pas (et je ne suis pas en achat oneclic).

>
> Ici Apple proc�de en m�morisant tout (code CB et cryptogramme), ce qui
> permet de faire ensuite des achats sans validation, au niveau de la
> carte, car il y a une sorte de validation avec l'identifiant Apple.

Le m�morise-t-il? ou a-t-il un accord pour paiement avec le gestionnaire
des cartes pour valider un paiement sans lui, une fois la validit� de la
carte confrim� une fois?

>
> Ainsi en tant que consommateur dans ce cas tu transf�res la confiance
> que tu fais � la banque au vendeur, c'est pas anodin quand m�me.

Quand j'ach�te sur internet, je suis de facto oblig� de tranf�rer ma
confiance sur plein de choses (pas moyen d'aller dans le magasin pour un
coup de gueule).

>
> Comme il s'agit d'une pratique peu courante, il est possible (mais je
> n'ai pas d'infos la dessus) que Apple ait n�goci� un pacte avec les
> organisme bancaire (CB) pour avoir ce droit... Un peu comme les
> autoroute qui ont aussi une exception puisqu'ils sont autoris� a d�biter
> uniquement avec le code CB (pas de code PIN ni crypgramme demand�).

Et qui regroupent les paiements (sur une semaine je crois) avec un
pr�l�vement unique.

>
> En tout le syst�me Apple n'est pas tr�s verrouill�, car ma CB est
> expir�e depuis d�j� quelques temps et tout fonctionne bien (je ne fais
> pas d'achats, j'utilise juste les services gratuits et logiciels
> gratuits).

Puisque tu utilises du "gratuit" pourquoi fairaient-ils un lien avec ta
CB? Ton identifiant leur suffit.


--
Gilbert

[SbM]

Gilbert OLIVIER <gilbert...@orange.fr> wrote:

> Pierre-Alain Dorange <pdor...@pas-de-pub-merci.mac.com> wrote:
>
> > Habituellement (la pluplart des achats en ligne), le code cryptogramme
> > est demand� � chaque achat et permet de valid� le d�bit. Le fournisseur
> > ne m�morisant que le code CB.
>
> Comme tu dis "habituellement" car de m�moire il me semble que Amazone
> par exemple ne le demande pas (et je ne suis pas en achat oneclic).

Il me semble que si.

--
[SbM]
"If the French were really intelligent, they'd speak English" (W. Sheed)

[ST]

On 2013-04-16, Pierre-Alain Dorange <pdor...@pas-de-pub-merci.mac.com> wrote:

> Comme il s'agit d'une pratique peu courante, il est possible (mais je

> n'ai pas d'infos la dessus) que Apple ait négocié un pacte avec les

> organisme bancaire (CB) pour avoir ce droit... Un peu comme les

> autoroute qui ont aussi une exception puisqu'ils sont autorisé a débiter
> uniquement avec le code CB (pas de code PIN ni crypgramme demandé).

Apple n'a rien négocié du tout, ils font ce qu'ils veulent. Comme la
fraude est supportée par le marchand, c'est lui qui décide à quel moment
il controle le CCV.

[Pierre-Alain Dorange]

Gilbert OLIVIER <gilbert...@orange.fr> wrote:

> [...]

> Comme tu dis "habituellement" car de m�moire il me semble que Amazone
> par exemple ne le demande pas (et je ne suis pas en achat oneclic).
> >
> > Ici Apple proc�de en m�morisant tout (code CB et cryptogramme), ce qui
> > permet de faire ensuite des achats sans validation, au niveau de la
> > carte, car il y a une sorte de validation avec l'identifiant Apple.
>
> Le m�morise-t-il? ou a-t-il un accord pour paiement avec le gestionnaire
> des cartes pour valider un paiement sans lui, une fois la validit� de la
> carte confrim� une fois?

On ne peux faire que des suppositions, Apple ne nous dira probablement
rien la dessus ;-)

> > [...]

> > Ainsi en tant que consommateur dans ce cas tu transf�res la confiance
> > que tu fais � la banque au vendeur, c'est pas anodin quand m�me.
>
> Quand j'ach�te sur internet, je suis de facto oblig� de tranf�rer ma
> confiance sur plein de choses (pas moyen d'aller dans le magasin pour un
> coup de gueule).

Oui et non.
Il y a tout de m�me diff�rents niveaux de confiance et des proc�dures a
respecter pour �tre accept� par les groupement type CB ou Visa.

> > [...]

> > En tout le syst�me Apple n'est pas tr�s verrouill�, car ma CB est
> > expir�e depuis d�j� quelques temps et tout fonctionne bien (je ne fais
> > pas d'achats, j'utilise juste les services gratuits et logiciels
> > gratuits).
> Puisque tu utilises du "gratuit" pourquoi fairaient-ils un lien avec ta
> CB? Ton identifiant leur suffit.

Je suis bien d'accord, mais pourquoi me le demander initialement pour
cr�er un compte ?

[SbM]

Pierre-Alain Dorange <pdor...@pas-de-pub-merci.mac.com> wrote:

> Gilbert OLIVIER <gilbert...@orange.fr> wrote:
>
> > > [...]

> > > En tout le syst�me Apple n'est pas tr�s verrouill�, car ma CB est
> > > expir�e depuis d�j� quelques temps et tout fonctionne bien (je ne fais
> > > pas d'achats, j'utilise juste les services gratuits et logiciels
> > > gratuits).
> > Puisque tu utilises du "gratuit" pourquoi fairaient-ils un lien avec ta
> > CB? Ton identifiant leur suffit.
>
> Je suis bien d'accord, mais pourquoi me le demander initialement pour
> cr�er un compte ?

Ce n'est pas obligatoire, on peut cr�er un compte sans moyen de
paiement.

[pehache]

On 16 avr, 12:01, gilbert.oliv...@orange.fr (Gilbert OLIVIER) wrote:
>
> > Même si trouves que ton épicier est un gars formidable, je ne suis pas
> > sûr que tu lui confierais le code PIN de ta carte de paiement.
>
> Là il n'est pas question de cela, Apple ne te demande pas ton n° secret

Ils te demandent ton cryptogramme, qui est censé tout de même avoir un
certain niveau de confidentialité (sinon à quoi sert-il ?).

> mais comme tous les sites vendeurs au moment de payer le n°

> d'itentification (non secret puisqu'imprimé sur la carte). Alors je ne
> confie pas plus à Apple qu'à un autre à mon avis.

Ben si. Pour la plupart des achats sur internet, au moment de payer tu
es redirigé vers le site d'une banque adhérente au GIE carte bleue, et
qui est en général la banque du vendeur. C'est à cette banque que tu
transmets les informations de carte bancaires, et le vendeur n'en a
connaissance à aucun moment. La banque informe juste le vendeur que le
paiement en sa faveur a été effectué.

Sur le site d'Apple, c'est bien à Apple, et pas à une banque, que tu
confies les informations de ta carte.

[Gilbert OLIVIER]

pehache <peha...@gmail.com> wrote:

> On 16 avr, 12:01, gilbert.oliv...@orange.fr (Gilbert OLIVIER) wrote:
> >

> > > M�me si trouves que ton �picier est un gars formidable, je ne suis pas
> > > s�r que tu lui confierais le code PIN de ta carte de paiement.
> >
> > L� il n'est pas question de cela, Apple ne te demande pas ton n� secret
>
> Ils te demandent ton cryptogramme, qui est cens� tout de m�me avoir un
> certain niveau de confidentialit� (sinon � quoi sert-il ?).

a assurer � distance quand j'achete que j'ai bien la carte sous les yeux
(enfin normalement).
Tu noteras que malgr�s cela, sur certains sites de paiement, il faut en
plus valider la transaction par un code re�u par SMS ou message vocal
(comme quoi il ont une grande confiance dans ce syst�me de cryptogramme
;-).

>
> > mais comme tous les sites vendeurs au moment de payer le n�

> > d'itentification (non secret puisqu'imprim� sur la carte). Alors je ne
> > confie pas plus � Apple qu'� un autre � mon avis.

>
> Ben si. Pour la plupart des achats sur internet, au moment de payer tu

> es redirig� vers le site d'une banque adh�rente au GIE carte bleue, et
> qui est en g�n�ral la banque du vendeur. C'est � cette banque que tu

> transmets les informations de carte bancaires, et le vendeur n'en a

> connaissance � aucun moment. La banque informe juste le vendeur que le
> paiement en sa faveur a �t� effectu�.

Oui, mais avec le syst�me de vente sur le store, tu ne paies pas �
l'achat mais au "groupement" d'achats sur un certain temps (comme sur
les autoroutes). Alors quand est ce qu'Appel te demanderait le
cryptogramme? A chaque achat alors qu'ils ne font pas une transaction
CB; au moment ou ils font la transaction pour le groupement de tes
achats alors que tu n'es plus en ligne?

Alors peut-�tre (mais ce ne sont que des suppositions et je pense que
personne ne peut nous assurer de ce qu'il en est effectivement des
proc�dures) qu'au moment de la saisie des coordonn�es de la CB il font
une "pr�r�servation" (est-ce le bon terme?) d'un montant (comme quand tu
loues une voiture (tu as un ticket avec un montant mais aucune op�ration
visible sur ton compte) histoire de s'assurer que la CB qu'ils lient �
ton identifiant est valable.

>
> Sur le site d'Apple, c'est bien � Apple, et pas � une banque, que tu

> confies les informations de ta carte.

Parce qu'une banque est forcemment plus digne de confiance ?-)


--
Gilbert

[Patrick Stadelmann]

In article
<a6f93198-187b-4350...@s4g2000vbr.googlegroups.com>,

pehache <peha...@gmail.com> wrote:

> Ils te demandent ton cryptogramme, qui est cens� tout de m�me avoir un
> certain niveau de confidentialit� (sinon � quoi sert-il ?).

L'usage du NIP t'authentifie (�quivalent de la signature). Pas l'usage
du cryptogramme.

[pehache]

Le 16/04/13 18:21, Gilbert OLIVIER a �crit :

>>
>> Ils te demandent ton cryptogramme, qui est cens� tout de m�me avoir un
>> certain niveau de confidentialit� (sinon � quoi sert-il ?).
>
> a assurer � distance quand j'achete que j'ai bien la carte sous les yeux
> (enfin normalement).

Donc c'est mieux si toi seul le connait.

> Tu noteras que malgr�s cela, sur certains sites de paiement, il faut en
> plus valider la transaction par un code re�u par SMS ou message vocal
> (comme quoi il ont une grande confiance dans ce syst�me de cryptogramme
> ;-).

Ceinture + bretelles.

>
>>
>> Sur le site d'Apple, c'est bien � Apple, et pas � une banque, que tu
>> confies les informations de ta carte.
>
> Parce qu'une banque est forcemment plus digne de confiance ?-)

Tu es bien bien oblig� de faire confiance � un acteur dans la
l'histoire. Tant qu'� faire autant que ce soit la banque.

Le principe de base est que moins il y a d'acteurs diff�rents qui
d�tiennent tes informations bancaires, mieux c'est : �a limite les
risques. Donc vu que la banque les d�tient forc�ment � la base, autant
que ce soit la banque (ou le groupement bancaire) qui g�re �a. Tu
imagines si tu �tais oblig� de fournir tes informations � tous les
vendeurs auxquels tu as affaire ?

[pehache]

Le 16/04/13 19:29, Patrick Stadelmann a �crit :

> In article
> <a6f93198-187b-4350...@s4g2000vbr.googlegroups.com>,
> pehache <peha...@gmail.com> wrote:
>
>> Ils te demandent ton cryptogramme, qui est cens� tout de m�me avoir un
>> certain niveau de confidentialit� (sinon � quoi sert-il ?).
>
> L'usage du NIP t'authentifie (�quivalent de la signature). Pas l'usage
> du cryptogramme.

La signature a une valeur juridique, le code PIN je n'en sais rien.

Mais peu importe : la "protection" suppl�mentaire offerte par le
cryptogramme est d'autant plus faible que tu le diffuses � tous les vents.

[Patrick Stadelmann]

In article <at5nh5...@mid.individual.net>,

pehache <peha...@gmail.com> wrote:

> Mais peu importe : la "protection" suppl�mentaire offerte par le
> cryptogramme est d'autant plus faible que tu le diffuses � tous les vents.

Ca n'est pas vraiment le probl�me du client : la protection
suppl�mentaire est apport�e au vendeur.

Et si tu ne communiques jamais le cryptogramme, alors il ne sert � rien.

[pehache]

Le 16/04/13 21:44, Patrick Stadelmann a �crit :

> In article <at5nh5...@mid.individual.net>,
> pehache <peha...@gmail.com> wrote:
>
>> Mais peu importe : la "protection" suppl�mentaire offerte par le
>> cryptogramme est d'autant plus faible que tu le diffuses � tous les vents.
>
> Ca n'est pas vraiment le probl�me du client : la protection
> suppl�mentaire est apport�e au vendeur.

Indirectement c'est aussi le probl�me du client. M�me si le client peut
en th�orie faire annuler un d�bit frauduleux sur sa carte, ce n'est pas
une partie de plaisir pour autant : je connais quelqu'un � qui c'est
arriv�, si tu aimes les d�marches administratives c'est super, mais si
tu as autre chose � faire dans ta vie �a peut vite �tre chiant. Sans
compter qu'avant de r�cup�rer l'argent, cet argent peut te manquer.

>
> Et si tu ne communiques jamais le cryptogramme, alors il ne sert � rien.
>

Tu le fais expr�s ? Entre le communiquer au GIE carte bancaire (qui le
connait d�j� soit dit en passant) et le communiquer � tous les vendeurs
avec lesquels tu traites, il y a une l�g�re diff�rence.

[ST]

On 2013-04-16, MV <mvau...@orage.fr.invalid> wrote:
>> Ici Apple procède en mémorisant tout (code CB et cryptogramme)
> Tu supputes ou tu le sais ?

On ne mémorise pas le cryptogramme, on s'en sert seulement pour valider
que l'utilisateur a la carte sous les yeux. On peut le vérifier une fois
ou à chaque fois, c'est comme on veut.

[Patrick Stadelmann]

In article <at5tic...@mid.individual.net>,

pehache <peha...@gmail.com> wrote:

> Indirectement c'est aussi le probl�me du client. M�me si le client peut
> en th�orie faire annuler un d�bit frauduleux sur sa carte, ce n'est pas
> une partie de plaisir pour autant : je connais quelqu'un � qui c'est
> arriv�, si tu aimes les d�marches administratives c'est super, mais si
> tu as autre chose � faire dans ta vie �a peut vite �tre chiant. Sans
> compter qu'avant de r�cup�rer l'argent, cet argent peut te manquer.

Ca ne change rien du tout : soit le pirate dispose du cryptogramme et il
va peut-�tre l'utiliser, soit il utilisera la carte chez des vendeurs
qui ne le demande pas.

> >
> > Et si tu ne communiques jamais le cryptogramme, alors il ne sert � rien.
> >
>
> Tu le fais expr�s ? Entre le communiquer au GIE carte bancaire (qui le
> connait d�j� soit dit en passant) et le communiquer � tous les vendeurs
> avec lesquels tu traites, il y a une l�g�re diff�rence.

A partir du moment o� tu communiques les autres informations
non-confidentielles, je ne vois pas trop la diff�rence.

[pehache]

Le 17/04/13 07:05, Patrick Stadelmann a �crit :

> In article <at5tic...@mid.individual.net>,
> pehache <peha...@gmail.com> wrote:
>
>> Indirectement c'est aussi le probl�me du client. M�me si le client peut
>> en th�orie faire annuler un d�bit frauduleux sur sa carte, ce n'est pas
>> une partie de plaisir pour autant : je connais quelqu'un � qui c'est
>> arriv�, si tu aimes les d�marches administratives c'est super, mais si
>> tu as autre chose � faire dans ta vie �a peut vite �tre chiant. Sans
>> compter qu'avant de r�cup�rer l'argent, cet argent peut te manquer.
>
> Ca ne change rien du tout : soit le pirate dispose du cryptogramme et il
> va peut-�tre l'utiliser, soit il utilisera la carte chez des vendeurs
> qui ne le demande pas.

La s�curit� dans ce domaine comme dans d'autres c'est "compliquer au
maximum la vie des fraudeurs", m�me si rien n'est efficace � 100%.

Ce n'est pas parce qu'un cambrioleur peut passer par le toit que �a ne
sert � rien de mettre une porte renforc�e: c'est plus compliqu� de
passer par le toit, et �a dissuadera toujours une partie des cambrioleurs.

>>
>> Tu le fais expr�s ? Entre le communiquer au GIE carte bancaire (qui le
>> connait d�j� soit dit en passant) et le communiquer � tous les vendeurs
>> avec lesquels tu traites, il y a une l�g�re diff�rence.
>
> A partir du moment o� tu communiques les autres informations
> non-confidentielles, je ne vois pas trop la diff�rence.
>

Tout � fait. A la base c'est gonflant d'�tre oblig� de communiquer ses
informations de carte bancaire � Apple ou � n'importe quel autre
vendeur. C'est tout b�nef pour eux, mais c'est une source d'emmerdes
potentiels pour les clients. C'est comme si tu filais des copies des
clefs de chez toi au facteur, au plombier, � l'employ� des eaux, �
Darty, � xxx, etc... Tu multiplies les risques.

[Gilbert OLIVIER]

pehache <peha...@gmail.com> wrote:


> Le principe de base est que moins il y a d'acteurs diff�rents qui
> d�tiennent tes informations bancaires, mieux c'est : �a limite les
> risques. Donc vu que la banque les d�tient forc�ment � la base, autant
> que ce soit la banque (ou le groupement bancaire) qui g�re �a. Tu
> imagines si tu �tais oblig� de fournir tes informations � tous les
> vendeurs auxquels tu as affaire ?

On notera que tu orientes la discution hors du sujet (que fais Apple du
cryptogramme?) ou tu n'apportes aucune r�ponse (tu n'en sais pas plus
que nous d'ailleur;-) )

Quand � faire confiance � quelqu'un, c'est sur que je suis oblig� de le
faire les yeurx ferm�s, je n'ai m�me pas le droit de choisir � qui,
c'est le site vendeur qui m'impose sont prestataire pour les paiements
et il n'y en a pas qu'un. Il y a m�me des operateurs de paiement
internet qui ne sont pas des banques (Ogone par ex) donc tu vois que
savoir � qui tu as � faire est un peu flou parfois.



--
Gilbert

[pehache]

Le 17/04/13 08:11, Gilbert OLIVIER a �crit :

> pehache <peha...@gmail.com> wrote:
>
>
>> Le principe de base est que moins il y a d'acteurs diff�rents qui
>> d�tiennent tes informations bancaires, mieux c'est : �a limite les
>> risques. Donc vu que la banque les d�tient forc�ment � la base, autant
>> que ce soit la banque (ou le groupement bancaire) qui g�re �a. Tu
>> imagines si tu �tais oblig� de fournir tes informations � tous les
>> vendeurs auxquels tu as affaire ?
>
> On notera que tu orientes la discution hors du sujet (que fais Apple du
> cryptogramme?) ou tu n'apportes aucune r�ponse (tu n'en sais pas plus
> que nous d'ailleur;-) )

Je ne sais pas ce que fais Apple du cryptogramme, et � la limite ce
n'est pas le sujet : tout ce que je vois c'est qu'on leur communique �
un moment et qu'� la base c'est par principe probl�matique (�a l'est
d�j� pour le num�ro de la carte de mon point de vue).

C'est un moindre mal si ils le stockent pas du tout et qu'il n'y en a
strictement aucune trace sur leurs machine, mais �a personne ne peut le
dire et ce n'est pas � moi qu'il faut le reprocher.

>
> Quand � faire confiance � quelqu'un, c'est sur que je suis oblig� de le
> faire les yeurx ferm�s, je n'ai m�me pas le droit de choisir � qui,
> c'est le site vendeur qui m'impose sont prestataire pour les paiements
> et il n'y en a pas qu'un.

La plupart du temps c'est une banque connue, adh�rente au GIE carte
bancaire.

> Il y a m�me des operateurs de paiement
> internet qui ne sont pas des banques (Ogone par ex) donc tu vois que
> savoir � qui tu as � faire est un peu flou parfois.

Eh bien perso je fais toujours attention qui est l'op�rateur de
paiement. Si j'ai un doute et que je n'ai pas suffisamment confiance je
laisse tomber.

[Gilbert OLIVIER]

pehache <peha...@gmail.com> wrote:

> Indirectement c'est aussi le probl�me du client. M�me si le client peut
> en th�orie faire annuler un d�bit frauduleux sur sa carte, ce n'est pas
> une partie de plaisir pour autant : je connais quelqu'un � qui c'est
> arriv�, si tu aimes les d�marches administratives c'est super, mais si
> tu as autre chose � faire dans ta vie �a peut vite �tre chiant. Sans
> compter qu'avant de r�cup�rer l'argent, cet argent peut te manquer.

Mon seul niveau de responsabilite vis � vis de la s�curit� est de ne pas
communiquer ce N� hors des sites marchants qui me le demande.

Maintenant, cela m'est arriv� il y a quelques ann�es d'avoir des d�bits
autre que les miens (la demande du cryptogramme �tait alors moins
r�pandu): opposition par telephone, d�pot de plainte avec la liste des
d�bits frauduleux, d�pot de la copie de cette plainte � ma banque (total
2 heures environ), remboursement int�gral peu de temps apr�s (je ne me
souviens plus exactement mais assez vite). il y a pire comme d�marche
administrative.

C'est sur �a ne fait pas plaisir, �a agace, �a te prive de CB le temps
d'en recevoir une autre. Mais il y a pire dans la vie.


--
Gilbert

[Patrick Stadelmann]

In article <ktydndRJWsFlrfPM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> Quid d'un achat effectu� sur l'Apple Store puisque Apple ne demande pas
> le cryptogramme mais d�tient l'information ? �a peut �tre la source de
> complications inextricables.

Contrairement au NIP et � la signature, le cryptogramme n'est pas un
�l�ment qui authentifie l'auteur de la transaction, donc � mon avis �a
ne change pas grand chose. Comme d�j� dit, c'est juste sens� indiquer
que l'auteur de la transaction dispose de la carte et pas uniquement des
informations pr�sentes sur la piste magn�tique.

De plus, c'est pas comme si on �tait oblig� de donner ces informations �
Apple, il y a d'autres moyens de payement propos�s.

[Pierre-Alain Dorange]

MV <mvau...@orage.fr.invalid> wrote:

> > Ici Apple proc�de en m�morisant tout (code CB et cryptogramme)

>
> Tu supputes ou tu le sais ?

Je suppute (je pense que personne ici ne sais ce que fais r�ellement
Apple).
Mais puisqu'il te demande ces 2 infos, c'est au minimum m�moris�
quelques instants dans leurs serveurs...

[Patrick Stadelmann]

In article <7aidnQp5kaDY1vPM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> In article
> <Patrick.Stadelmann-0...@news.individual.net>,

> Patrick Stadelmann <Patrick.S...@unine.ch> wrote:
>
> > Contrairement au NIP et � la signature, le cryptogramme n'est pas un
> > �l�ment qui authentifie l'auteur de la transaction, donc � mon avis �a
> > ne change pas grand chose. Comme d�j� dit, c'est juste sens� indiquer
> > que l'auteur de la transaction dispose de la carte et pas uniquement des
> > informations pr�sentes sur la piste magn�tique.
>

> J'�crivais :
>
> � Si le fraudeur utilise ton cryptogramme et que tu n'as pas d�clar� le
> vol de ta carte, tu es mal. On peut t'accuser de n�gligence coupable et
> refuser de te rembourser. �
>
> Et l�, tu te gardes bien de r�pondre. Si lors d'un achat le cryptogramme
> est utilis�, comment vas-tu prouver que tu n'es pas � l'origine de la
> transaction ?

La question est plut�t : comment le vendeur va prouver que tu es bien �
l'origine de la transaction.

> > De plus, c'est pas comme si on �tait oblig� de donner ces informations �
> > Apple, il y a d'autres moyens de payement propos�s.
>

> Ben voyons, tu bottes en touche.

Pas du tout. L'utilisation des cartes de cr�dit sur Internet est un
compromis entre la simplicit� d'utilisation et la s�curit�, compromis
qui varie selon les vendeurs. Si le compromis choisi par un vendeur ne
te convient pas, utilise un autre moyen de payement. C'est aussi simple
que cela.

Par ailleurs, si tu veux des r�ponses autoris�es, pourquoi ne pas
t'adresse directement � ta banque ou � l'�metteur de ta carte ?

[ST]

On 2013-04-17, Gilbert OLIVIER <gilbert...@orange.fr> wrote:

> On notera que tu orientes la discution hors du sujet (que fais Apple du

> cryptogramme?) ou tu n'apportes aucune réponse (tu n'en sais pas plus

> que nous d'ailleur;-) )

Il l'utilise pour controler qu'il est correct. Il ne le stocke pas.

Il n'a PAS besoin de ce cryptogramme pour débiter ta carte, c'est juste
une sécurité qui permet de s'assurer que ce cryptogramme est correct à
un temps T. Que T soit à l'inscription de la carte, suite à un
changement d'information ou pour toutes les transactions.

> Quand à faire confiance à quelqu'un, c'est sur que je suis obligé de le
> faire les yeurx fermés, je n'ai même pas le droit de choisir à qui,

> c'est le site vendeur qui m'impose sont prestataire pour les paiements

> et il n'y en a pas qu'un. Il y a même des operateurs de paiement

> internet qui ne sont pas des banques (Ogone par ex) donc tu vois que

> savoir à qui tu as à faire est un peu flou parfois.

La confiance ne se situe pas à ce niveau là mais au niveau du relevé de
transactions. Si une transaction est frauduleuse, tu contactes ta
banque, ta carte est changée et la banque va vérifier avec le marchand
ce qui s'est passé et, le cas échéant, te rembourser (compter un délai
de 2 à 3 mois).

[Patrick Stadelmann]

In article <LZGdnd2BqJRNxPPM...@giganews.com>,
Lionel Mychkine <mych...@nowhere.invalid> wrote:

> C'est bien pourquoi je suis choqu� qu'Apple r�clame le cryptogramme lors
> d'un renouvellement de carte.

Il est pr�cis�ment fait pour cela :

Cryptogramme visuel�: fonction

Le cryptogramme visuel vise � s�curiser davantage les r�glements �
distance, qu�ils soient par �crit ou par t�l�phone.

Impact du cryptogramme visuel pour le titulaire de la carte

Vous devez d�sormais indiquer votre cryptogramme visuel Visa � trois
chiffres quand vous effectuez un paiement. Ce code est fourni � des
fins de v�rification par le commer�ant aupr�s de votre banque dans le
cadre du processus habituel de paiement.

<http://www.visaeurope.ch/fr/visa_au_quotidien/securite/cryptogramme_visu
el_de_la_cart.aspx>

> Les faits sont t�tus. Bon sang de bonsoir, s'il est interdit de
> conserver cette donn�e, pourquoi Apple la demande-t-elle alors qu'il n'y
> a aucune transaction ???

Bien s�r qu'il y a une transaction qui permet de v�rifier la validit�
des informations fournies.

[Gilbert OLIVIER]

ST <s...@unices.org> wrote:

> La confiance ne se situe pas à ce niveau là mais au niveau du relevé de
> transactions. Si une transaction est frauduleuse, tu contactes ta
> banque, ta carte est changée et la banque va vérifier avec le marchand
> ce qui s'est passé et, le cas échéant, te rembourser (compter un délai
> de 2 à 3 mois).

Comme relaté dans un autre message, je "connais". Mais cela avait été
bien plus rapide que le delai que tu annonces. Coup de chance???

--
Gilbert

[Gilbert OLIVIER]

Lionel Mychkine <mych...@nowhere.invalid> wrote:

> Et là, tu te gardes bien de répondre. Si lors d'un achat le cryptogramme
> est utilisé, comment vas-tu prouver que tu n'es pas à l'origine de la
> transaction ? C'est un peu léger de dire comme tu le fais que le
> cryptogramme n'est pas un élément qui authentifie l'auteur de la
> transaction.

L'adresse de livraison associée à une enquête de police (tu as
forcemment porté plainte) devrait te disculper sans problème.
Et c'est à la banque (ou au marchand) à prouver que tu as bien reçu ce
qu'il a envoyé il me semble.

--
Gilbert

[ST]

On 2013-04-17, Gilbert OLIVIER <gilbert...@orange.fr> wrote:

> Comme relaté dans un autre message, je "connais". Mais cela avait été
> bien plus rapide que le delai que tu annonces. Coup de chance???

Cela ne m'est arrivé qu'une fois et ça a pris 2 mois.

Par contre, au niveau du CCV, j'ai monté une plateforme de E-Commerce et
je sais que Apple n'enregistre pas le CCV. Le fait qu'ils le demandent
ou pas à chaque transaction n'a aucun rapport.

[pehache]

Le 17/04/13 08:30, Gilbert OLIVIER a écrit :
> pehache <peha...@gmail.com> wrote:
>
>> Indirectement c'est aussi le problème du client. Même si le client peut
>> en théorie faire annuler un débit frauduleux sur sa carte, ce n'est pas
>> une partie de plaisir pour autant : je connais quelqu'un à qui c'est
>> arrivé, si tu aimes les démarches administratives c'est super, mais si
>> tu as autre chose à faire dans ta vie ça peut vite être chiant. Sans
>> compter qu'avant de récupérer l'argent, cet argent peut te manquer.
>
> Mon seul niveau de responsabilite vis à vis de la sécurité est de ne pas

> communiquer ce N° hors des sites marchants qui me le demande.
>

> Maintenant, cela m'est arrivé il y a quelques années d'avoir des débits
> autre que les miens (la demande du cryptogramme était alors moins
> répandu): opposition par telephone, dépot de plainte avec la liste des
> débits frauduleux, dépot de la copie de cette plainte à ma banque (total
> 2 heures environ), remboursement intégral peu de temps après (je ne me
> souviens plus exactement mais assez vite). il y a pire comme démarche
> administrative.
>
> C'est sur ça ne fait pas plaisir, ça agace, ça te prive de CB le temps

> d'en recevoir une autre. Mais il y a pire dans la vie.

Ben apparemment ça ne se passe pas toujours aussi simplement.

[Gilbert OLIVIER]

On va dire que j'ai eu de la chance sur ce coup. Mais je ne tiens pas à
retester.

--
Gilbert

[pehache]

Le 17/04/13 08:32, Patrick Stadelmann a écrit :

> In article <ktydndRJWsFlrfPM...@giganews.com>,
> Lionel Mychkine <mych...@nowhere.invalid> wrote:
>

>> Quid d'un achat effectué sur l'Apple Store puisque Apple ne demande pas
>> le cryptogramme mais détient l'information ? Ça peut être la source de
>> complications inextricables.
>
> Contrairement au NIP et à la signature, le cryptogramme n'est pas un
> élément qui authentifie l'auteur de la transaction, donc à mon avis ça
> ne change pas grand chose. Comme déjà dit, c'est juste sensé indiquer

> que l'auteur de la transaction dispose de la carte et pas uniquement des

> informations présentes sur la piste magnétique.
>
> De plus, c'est pas comme si on était obligé de donner ces informations à
> Apple, il y a d'autres moyens de payement proposés.

Ah ?

[Chap]

On 2013-04-13 11:36:16 +0000, Lionel Mychkine said:

> Alors je m'interroge. La firme Apple est donc absolument s�re que ses
> serveurs ne seront jamais pirat�s ? Parce que les fraudeurs auraient
> tous les param�tres n�cessaires pour faire des achats � bon compte sur
> Internet, sur le dos des clients d'Apple.

Chez Apple, j'utilise une carte pr�pay�e (Mastercard PCS) avec dedans
20 euros. M�me si elle est pirat�e, je vois mal le salaud qui s'en
servira se payer un gros truc.

--
_Chap_