S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Le code PIN de Google Wallet peut être trouvé sur un smartphone rooté

Il faut que les planètes s'alignent, mais le risque est réel

Google Wallet est une solution de portefeuille numérique pour Android utilisant les puces NFC (Near Field Communications). Son objectif est d’équiper les smartphones d’une possibilité de régler les achats dans les boutiques qui sont équipées en terminaux compatibles. La sécurité joue un rôle primordial dans la crédibilité de Google Wallet, une équipe de chercheurs a cependant trouvé un moyen de faire un trou dans le portefeuille numérique.

wallet google offers

En théorie, un code PIN peut être trouvé en quelques secondes 

Zvelo est une société spécialisée dans la catégorisation des sites web et leur sécurité. Récemment, l’un des experts de Zvelo, Joshua Rubin, a décrit dans un billet sur le blog de la société un sérieux problème de sécurité dans Google Wallet. Il serait possible de briser le code PIN de protection du service par la force brute.


Cela signifie concrètement que le code PIN peut être trouvé de manière relativement simple. Le code lui-même ne comprend que quatre chiffres, ce qui représente donc environ 10 000 combinaisons. Une application pourrait être installée pour tester chacune d’entre elles, une méthode appelée force brute (tous les cas sont envisagés). Mais la question est du coup de savoir comment on installe une telle application.

C’est la limite de « l’attaque » : le téléphone doit être rooté. En clair, l’utilisateur doit avoir fait une série de manipulations sur Android pour récupérer les droits administrateur (root) sur son appareil, afin de mener des actions normalement bloquées. Bien que cet état puisse être courant sur les smartphones des utilisateurs expérimentés, le rootage reste une procédure particulière absente de la majorité des terminaux Android. Cela suffit quand même à installer une application qui va pouvoir deviner le PIN de Wallet en quelques secondes d’après Zvelo.

Pour Google, il n’existe pas vraiment de problème

L’éditeur défend bien évidemment son produit en affirmant que Wallet détient plusieurs avantages sur une solution de carte bancaire classique. Plusieurs protections sont également en place. Outre le code PIN, Google recommande l’activation de l’écran de verrouillage qui oblige à utiliser un autre code ou une protection visuelle, ceci pour empêcher l’accès physique au téléphone par un tiers.

Google revient ensuite sur le rootage du téléphone. Globalement, la firme tente de décourager les utilisateurs d’y recourir car la sécurité du téléphone peut être remise en question. Bien qu’il s’agisse d’une confirmation des explications de Zvelo, Google ajoute un point important : si un smartphone avec un compte Wallet actif est rooté, il y a de fortes chances que la manipulation soit détectée et que les données relatives soient automatiquement effacées.

La firme insiste sur l’antagonisme de Wallet et du rootage et ajoute que des actions sont prises dans la foulée quand des problèmes sérieux sont détectés. Par exemple, un souci est apparu dans les cartes prépayées. Un utilisateur qui récupèrerait un smartphone sans écran de verrouillage pourrait potentiellement utiliser le solde positif d’une telle carte sans autorisation. Cette coupure est temporaire, le temps qu’une correction permanente soit appliquée.

Rappelons en outre que pour trouver le code PIN de Google Wallet, le rootage du téléphone ne suffit pas. Si le but est en effet d’attaquer une personne, il faut pouvoir accéder physiquement à son téléphone pour installer l’application, puis utiliser l’appareil pour effectuer le paiement. Déclencher l’attaque à distance, via une application contenant un malware par exemple, n’aurait d’intérêt que si l’on était certain de pouvoir ensuite récupérer le téléphone : le paiement se base sur les transmissions NFC.

Wallet n'a pas fini d'évoluer

Google n’hésite pas à dire que Wallet va continuer à s’améliorer et que les années à venir permettront d’en apprendre davantage, des propos étranges pour un produit si sensible. Il est vrai que la solution se cantonne surtout aux États-Unis pour l'instant et que l’ouverture au reste du monde exposera le service à des risques supplémentaires. Mais l’éditeur est décidé à prendre des décisions radicales, quitte à bloquer totalement les téléphones rootés sur des produits aussi sensibles que Wallet. 

Terminons sur les conseils qu’a donné la société Zvelo pour limiter les risques avec Android et Wallet :
  • Ne pas rooter le téléphone
  • Activer une protection sur l’écran de verrouillage, avec un code, un modèle ou autre
  • Désactiver le débogage USB, qui peut permettre de passer outre l’écran de verrouillage
  • Activer le chiffrement des données sur tout le téléphone, ce qui empêche le débogage USB de passer outre le verrouillage
  • Installer toutes les mises à jour disponible, bien que ce point soit malheureusement très dépendant de la volonté des constructeurs sur leurs modèles de smartphones. Dans l’idéal, l’utilisateur aura accès à une mouture 4.0.X d’Android.
Source : Zvelo
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Publiée le 13/02/2012 à 10:40

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...

Il y a 45 commentaires

Avatar de CryoGen INpactien
CryoGen Le lundi 13 février 2012 à 11:15:47
Inscrit le jeudi 12 mai 05 - 1844 commentaires
Encore plus simple, il suffit de laisser trainer sa carte bancaire n'importe où et les chances d'avoir son compte débité augmente pas mal aussi... , même pas besoin d'un code sur internet.

Avatar de Maxobelix INpactien
Maxobelix Le lundi 13 février 2012 à 11:33:55
Inscrit le mercredi 5 avril 06 - 1845 commentaires
Encore plus simple, il suffit de laisser trainer sa carte bancaire n'importe où et les chances d'avoir son compte débité augmente pas mal aussi... , même pas besoin d'un code sur internet.



Encore mieux et plus facile pour les cartes bancaires:
Du fil de fer, une batte / couteau et un couple de vieux dans leur maison...

Avatar de rom-g INpactien
rom-g Le lundi 13 février 2012 à 11:40:19
Inscrit le dimanche 11 janvier 04 - 55 commentaires
Mais quel rootage de gueule !!
Avatar de Drepanocytose INpactien
Drepanocytose Le lundi 13 février 2012 à 11:51:21
Inscrit le jeudi 26 mai 11 - 9646 commentaires


Encore mieux et plus facile pour les cartes bancaires:
Du fil de fer, une batte / couteau et un couple de vieux dans leur maison...


Plus simple
Avatar de huskie INpactien
huskie Le lundi 13 février 2012 à 11:56:49
Inscrit le mercredi 20 avril 05 - 29925 commentaires
Heu je pige pas là... Vous allez me dire que le code pin est stocké sur le téléphone ??? qu'il n'ya pas de contrôle avec un serveur distant ???
Ca m'étonnerait beaucoup et il suffit que le serveur soit protéger contre le brut force et ce genre de méthode devient totalement inexploitable...


Bien sûr. Le code PIN sert à "démarrer" le téléphone donc bien avant la recherche d'un réseau et de pouvoir se connecter à un serveur..
Avatar de ano_634845199311307630 INpactien
ano_634845199311307630 Le lundi 13 février 2012 à 12:00:03
Inscrit le jeudi 19 mai 11 - 294 commentaires

Bien sûr. Le code PIN sert à "démarrer" le téléphone donc bien avant la recherche d'un réseau et de pouvoir se connecter à un serveur..

sauf que le code pin est normalement stocké sur une carte a puce, qui se verouille apres quelques tentatives infructueuses (donc impossible d'essayer toutes les environ 10000 combinaisons).
Avatar de Maxobelix INpactien
Maxobelix Le lundi 13 février 2012 à 12:02:58
Inscrit le mercredi 5 avril 06 - 1845 commentaires

Bien sûr. Le code PIN sert à "démarrer" le téléphone donc bien avant la recherche d'un réseau et de pouvoir se connecter à un serveur..


On ne parle pas du même code PIN...
code PIN SIM != code PIN du wallet
Avatar de huskie INpactien
huskie Le lundi 13 février 2012 à 12:06:24
Inscrit le mercredi 20 avril 05 - 29925 commentaires


On ne parle pas du même code PIN...
code PIN SIM != code PIN du wallet

Oh ben alors, si y a plusieurs pin, c'est de la triche.
Avatar de Zod INpactien
Zod Le lundi 13 février 2012 à 12:11:32
Inscrit le jeudi 9 décembre 04 - 588 commentaires
Ce qui m'intrigue c'est que l'on n'a pas encore vu de téléphone avec un lecteur d'empreinte digitale (moi en tout cas).

Vu le peu de place que ça prend, ça ne me parait pas stupide d'utiliser ce genre d'outil plutôt que des codes PIN à 4 chiffres que l'on peut "bruteforcer" à la main...
Avatar de kail INpactien
kail Le lundi 13 février 2012 à 12:47:29
Inscrit le jeudi 30 août 07 - 9762 commentaires
Pour l'instant je ne vois pas trop l'utilité de google wallet. tant qu'on devra se déplacer avec le permis de conduire, la carte grise, la carte d'identité, il n'y aura jamais moyen de se débarrasser de ce portefeuille.
;