S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Le code PIN de Google Wallet peut être trouvé sur un smartphone rooté

Il faut que les planètes s'alignent, mais le risque est réel

Google Wallet est une solution de portefeuille numérique pour Android utilisant les puces NFC (Near Field Communications). Son objectif est d’équiper les smartphones d’une possibilité de régler les achats dans les boutiques qui sont équipées en terminaux compatibles. La sécurité joue un rôle primordial dans la crédibilité de Google Wallet, une équipe de chercheurs a cependant trouvé un moyen de faire un trou dans le portefeuille numérique.

wallet google offers

En théorie, un code PIN peut être trouvé en quelques secondes 

Zvelo est une société spécialisée dans la catégorisation des sites web et leur sécurité. Récemment, l’un des experts de Zvelo, Joshua Rubin, a décrit dans un billet sur le blog de la société un sérieux problème de sécurité dans Google Wallet. Il serait possible de briser le code PIN de protection du service par la force brute.


Cela signifie concrètement que le code PIN peut être trouvé de manière relativement simple. Le code lui-même ne comprend que quatre chiffres, ce qui représente donc environ 10 000 combinaisons. Une application pourrait être installée pour tester chacune d’entre elles, une méthode appelée force brute (tous les cas sont envisagés). Mais la question est du coup de savoir comment on installe une telle application.

C’est la limite de « l’attaque » : le téléphone doit être rooté. En clair, l’utilisateur doit avoir fait une série de manipulations sur Android pour récupérer les droits administrateur (root) sur son appareil, afin de mener des actions normalement bloquées. Bien que cet état puisse être courant sur les smartphones des utilisateurs expérimentés, le rootage reste une procédure particulière absente de la majorité des terminaux Android. Cela suffit quand même à installer une application qui va pouvoir deviner le PIN de Wallet en quelques secondes d’après Zvelo.

Pour Google, il n’existe pas vraiment de problème

L’éditeur défend bien évidemment son produit en affirmant que Wallet détient plusieurs avantages sur une solution de carte bancaire classique. Plusieurs protections sont également en place. Outre le code PIN, Google recommande l’activation de l’écran de verrouillage qui oblige à utiliser un autre code ou une protection visuelle, ceci pour empêcher l’accès physique au téléphone par un tiers.

Google revient ensuite sur le rootage du téléphone. Globalement, la firme tente de décourager les utilisateurs d’y recourir car la sécurité du téléphone peut être remise en question. Bien qu’il s’agisse d’une confirmation des explications de Zvelo, Google ajoute un point important : si un smartphone avec un compte Wallet actif est rooté, il y a de fortes chances que la manipulation soit détectée et que les données relatives soient automatiquement effacées.

La firme insiste sur l’antagonisme de Wallet et du rootage et ajoute que des actions sont prises dans la foulée quand des problèmes sérieux sont détectés. Par exemple, un souci est apparu dans les cartes prépayées. Un utilisateur qui récupèrerait un smartphone sans écran de verrouillage pourrait potentiellement utiliser le solde positif d’une telle carte sans autorisation. Cette coupure est temporaire, le temps qu’une correction permanente soit appliquée.

Rappelons en outre que pour trouver le code PIN de Google Wallet, le rootage du téléphone ne suffit pas. Si le but est en effet d’attaquer une personne, il faut pouvoir accéder physiquement à son téléphone pour installer l’application, puis utiliser l’appareil pour effectuer le paiement. Déclencher l’attaque à distance, via une application contenant un malware par exemple, n’aurait d’intérêt que si l’on était certain de pouvoir ensuite récupérer le téléphone : le paiement se base sur les transmissions NFC.

Wallet n'a pas fini d'évoluer

Google n’hésite pas à dire que Wallet va continuer à s’améliorer et que les années à venir permettront d’en apprendre davantage, des propos étranges pour un produit si sensible. Il est vrai que la solution se cantonne surtout aux États-Unis pour l'instant et que l’ouverture au reste du monde exposera le service à des risques supplémentaires. Mais l’éditeur est décidé à prendre des décisions radicales, quitte à bloquer totalement les téléphones rootés sur des produits aussi sensibles que Wallet. 

Terminons sur les conseils qu’a donné la société Zvelo pour limiter les risques avec Android et Wallet :
  • Ne pas rooter le téléphone
  • Activer une protection sur l’écran de verrouillage, avec un code, un modèle ou autre
  • Désactiver le débogage USB, qui peut permettre de passer outre l’écran de verrouillage
  • Activer le chiffrement des données sur tout le téléphone, ce qui empêche le débogage USB de passer outre le verrouillage
  • Installer toutes les mises à jour disponible, bien que ce point soit malheureusement très dépendant de la volonté des constructeurs sur leurs modèles de smartphones. Dans l’idéal, l’utilisateur aura accès à une mouture 4.0.X d’Android.
Source : Zvelo
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Publiée le 13/02/2012 à 10:40

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...

Il y a 45 commentaires

Avatar de SebGF INpactien
SebGF Le lundi 13 février 2012 à 13:11:38
Inscrit le mercredi 16 septembre 09 - 4348 commentaires

Oh ben alors, si y a plusieurs pin, c'est de la triche.


C'est pas de la triche, c'est une forêt.


-------> auto.gif
Avatar de Oliewan INpactien
Oliewan Le lundi 13 février 2012 à 13:15:00
Inscrit le samedi 13 décembre 03 - 2475 commentaires
Ce qui m'intrigue c'est que l'on n'a pas encore vu de téléphone avec un lecteur d'empreinte digitale (moi en tout cas).

Vu le peu de place que ça prend, ça ne me parait pas stupide d'utiliser ce genre d'outil plutôt que des codes PIN à 4 chiffres que l'on peut "bruteforcer" à la main...

Mon Motorola Atrix en a un.
Avatar de brujita INpactienne
brujita Le lundi 13 février 2012 à 13:18:24
Inscrite le vendredi 16 janvier 09 - 839 commentaires
Pour l'instant je ne vois pas trop l'utilité de google wallet. tant qu'on devra se déplacer avec le permis de conduire, la carte grise, la carte d'identité, il n'y aura jamais moyen de se débarrasser de ce portefeuille.


Installe toi en Angleterre.
Avatar de Ballos INpactien
Ballos Le lundi 13 février 2012 à 13:24:49
Inscrit le jeudi 10 janvier 08 - 1132 commentaires
Ce qui m'intrigue c'est que l'on n'a pas encore vu de téléphone avec un lecteur d'empreinte digitale (moi en tout cas).

Vu le peu de place que ça prend, ça ne me parait pas stupide d'utiliser ce genre d'outil plutôt que des codes PIN à 4 chiffres que l'on peut "bruteforcer" à la main...

motorolla l'a fait :http://www.youtube.com/watch?v=LFmIgNhg0M4
Mais là encore on aura un site qui va nous sortir qu'en coupant le doigt on peut récupérer les données

Edité par ballos le lundi 13 février 2012 à 13:26
Avatar de kail INpactien
kail Le lundi 13 février 2012 à 13:25:57
Inscrit le jeudi 30 août 07 - 9762 commentaires


Installe toi en Angleterre.

Tu peux te déplacer sans permis de conduire en Angleterre?
Avatar de aureus INpactien
aureus Le lundi 13 février 2012 à 13:34:06
Inscrit le lundi 7 mars 11 - 1562 commentaires

Tu peux te déplacer sans permis de conduire en Angleterre?

Personne n'a le permis en Angleterre. Comment veux tu que des mecs qui roule à gauche réussissent à l'obtenir ?
Avatar de brujita INpactienne
brujita Le lundi 13 février 2012 à 13:37:31
Inscrite le vendredi 16 janvier 09 - 839 commentaires

Tu peux te déplacer sans permis de conduire en Angleterre?


Tu n'as pas besoin d'avoir le permis avec toi.
Avatar de ano_634845199311307630 INpactien
ano_634845199311307630 Le lundi 13 février 2012 à 13:46:18
Inscrit le jeudi 19 mai 11 - 294 commentaires
Ce qui m'intrigue c'est que l'on n'a pas encore vu de téléphone avec un lecteur d'empreinte digitale (moi en tout cas).

Vu le peu de place que ça prend, ça ne me parait pas stupide d'utiliser ce genre d'outil plutôt que des codes PIN à 4 chiffres que l'on peut "bruteforcer" à la main...

Si il suffit de se logger en root ou de faire un reset pour reinitialiser les parametres d'authentification, c'est pas plus securisé que le code pin (ou rien du tout). C'est pas pour rien que la carte a puce a été inventée.
Avatar de frikakwa INpactien
frikakwa Le lundi 13 février 2012 à 13:49:51
Inscrit le vendredi 16 mai 08 - 5128 commentaires
Il semblerait qu'il n'y ai même pas besoin de le rooter ou de tenter un bruteforce: réinitialiser l'appli suffit (http://www.theregister.co.uk/2012/02/10/google_wallet_again/ )

Edit : grillé XD

Il y aurait une seconde possibilité à priori, et cette fois sur tous les téléphone, même non rootés

Oui bon, un peu grillé là (mais avec 3 liens différents pour le même problème quand même )

youhou.gifyouhou.gif
Avatar de kail INpactien
kail Le lundi 13 février 2012 à 13:57:05
Inscrit le jeudi 30 août 07 - 9762 commentaires


Tu n'as pas besoin d'avoir le permis avec toi.

Ok.
Ah la France, pays qui prétend défendre la liberté
;