S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Le code PIN de Google Wallet peut être trouvé sur un smartphone rooté

Il faut que les planètes s'alignent, mais le risque est réel

Google Wallet est une solution de portefeuille numérique pour Android utilisant les puces NFC (Near Field Communications). Son objectif est d’équiper les smartphones d’une possibilité de régler les achats dans les boutiques qui sont équipées en terminaux compatibles. La sécurité joue un rôle primordial dans la crédibilité de Google Wallet, une équipe de chercheurs a cependant trouvé un moyen de faire un trou dans le portefeuille numérique.

wallet google offers

En théorie, un code PIN peut être trouvé en quelques secondes 

Zvelo est une société spécialisée dans la catégorisation des sites web et leur sécurité. Récemment, l’un des experts de Zvelo, Joshua Rubin, a décrit dans un billet sur le blog de la société un sérieux problème de sécurité dans Google Wallet. Il serait possible de briser le code PIN de protection du service par la force brute.


Cela signifie concrètement que le code PIN peut être trouvé de manière relativement simple. Le code lui-même ne comprend que quatre chiffres, ce qui représente donc environ 10 000 combinaisons. Une application pourrait être installée pour tester chacune d’entre elles, une méthode appelée force brute (tous les cas sont envisagés). Mais la question est du coup de savoir comment on installe une telle application.

C’est la limite de « l’attaque » : le téléphone doit être rooté. En clair, l’utilisateur doit avoir fait une série de manipulations sur Android pour récupérer les droits administrateur (root) sur son appareil, afin de mener des actions normalement bloquées. Bien que cet état puisse être courant sur les smartphones des utilisateurs expérimentés, le rootage reste une procédure particulière absente de la majorité des terminaux Android. Cela suffit quand même à installer une application qui va pouvoir deviner le PIN de Wallet en quelques secondes d’après Zvelo.

Pour Google, il n’existe pas vraiment de problème

L’éditeur défend bien évidemment son produit en affirmant que Wallet détient plusieurs avantages sur une solution de carte bancaire classique. Plusieurs protections sont également en place. Outre le code PIN, Google recommande l’activation de l’écran de verrouillage qui oblige à utiliser un autre code ou une protection visuelle, ceci pour empêcher l’accès physique au téléphone par un tiers.

Google revient ensuite sur le rootage du téléphone. Globalement, la firme tente de décourager les utilisateurs d’y recourir car la sécurité du téléphone peut être remise en question. Bien qu’il s’agisse d’une confirmation des explications de Zvelo, Google ajoute un point important : si un smartphone avec un compte Wallet actif est rooté, il y a de fortes chances que la manipulation soit détectée et que les données relatives soient automatiquement effacées.

La firme insiste sur l’antagonisme de Wallet et du rootage et ajoute que des actions sont prises dans la foulée quand des problèmes sérieux sont détectés. Par exemple, un souci est apparu dans les cartes prépayées. Un utilisateur qui récupèrerait un smartphone sans écran de verrouillage pourrait potentiellement utiliser le solde positif d’une telle carte sans autorisation. Cette coupure est temporaire, le temps qu’une correction permanente soit appliquée.

Rappelons en outre que pour trouver le code PIN de Google Wallet, le rootage du téléphone ne suffit pas. Si le but est en effet d’attaquer une personne, il faut pouvoir accéder physiquement à son téléphone pour installer l’application, puis utiliser l’appareil pour effectuer le paiement. Déclencher l’attaque à distance, via une application contenant un malware par exemple, n’aurait d’intérêt que si l’on était certain de pouvoir ensuite récupérer le téléphone : le paiement se base sur les transmissions NFC.

Wallet n'a pas fini d'évoluer

Google n’hésite pas à dire que Wallet va continuer à s’améliorer et que les années à venir permettront d’en apprendre davantage, des propos étranges pour un produit si sensible. Il est vrai que la solution se cantonne surtout aux États-Unis pour l'instant et que l’ouverture au reste du monde exposera le service à des risques supplémentaires. Mais l’éditeur est décidé à prendre des décisions radicales, quitte à bloquer totalement les téléphones rootés sur des produits aussi sensibles que Wallet. 

Terminons sur les conseils qu’a donné la société Zvelo pour limiter les risques avec Android et Wallet :
  • Ne pas rooter le téléphone
  • Activer une protection sur l’écran de verrouillage, avec un code, un modèle ou autre
  • Désactiver le débogage USB, qui peut permettre de passer outre l’écran de verrouillage
  • Activer le chiffrement des données sur tout le téléphone, ce qui empêche le débogage USB de passer outre le verrouillage
  • Installer toutes les mises à jour disponible, bien que ce point soit malheureusement très dépendant de la volonté des constructeurs sur leurs modèles de smartphones. Dans l’idéal, l’utilisateur aura accès à une mouture 4.0.X d’Android.
Source : Zvelo
Vincent Hermann

Rédacteur/journaliste spécialisé dans le logiciel et en particulier les systèmes d'exploitation. Ne se déplace jamais sans son épée.

Publiée le 13/02/2012 à 10:40

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...

Il y a 45 commentaires

Avatar de yoda222 INpactien
yoda222 Le lundi 13 février 2012 à 17:46:02
Inscrit le mercredi 5 mai 04 - 4328 commentaires


Y a peut être des codes interdits ?
Par exemple, personne n'a comme code de carte bancaire '0000'.
(ce serait trop déprimant).


Ce serait une mauvaise pratique, car ça réduirait le nombre de combinaisons possible. Maintenant vu les restrictions que j'ai dans le choix de mon code pour accéder à une de mes banques (la française, comme par hasard... /o\ ) ce ne serait pas la première mauvaise pratique en terme de sécurité...
Avatar de kail INpactien
kail Le lundi 13 février 2012 à 18:10:15
Inscrit le jeudi 30 août 07 - 9763 commentaires


J'ai une solution pour toi, si tu es en France et que tu conduis toujours la même voiture. 1. Tu laisses ta carte d'identité à la maison, tu n'en as pas besoin. 2. La prochaine fois que tu vas dans ta voiture, tu prends ta carte grise et ton permis de conduire de la main gauche, tu te penches vers la droite, tu devrais voir une sorte de poignée ouvrant un espace de rangement devant la place du mort. De ta main libre (la droite) tu ouvres ce compartiment. Ensuite, tu places les documents présents dans ta main gauche dedans, et tu refermes cet espace. Tu te redresses, et hop, tu es prêt à partir, et tu n'as plus ni permis ni carte grise dans ta poche. Et voila. N'oublie pas de récupérer ton permis la prochaine fois que tu pars à l'étranger et que tu comptes conduire une autre voiture.

Je sais c'est bête mais je garde toujours permis de conduire et carte grise sur moi aucasoù vol de bagnole. Et puis la carte d'identité, je me déplace toujours avec pour tous les dossiers administratifs qu'on pourra me demander de faire.
Avatar de Tolor Modérateur
Tolor Le lundi 13 février 2012 à 18:44:49
Inscrit le mercredi 5 août 09 - 12180 commentaires


J'ai une solution pour toi, si tu es en France et que tu conduis toujours la même voiture. 1. Tu laisses ta carte d'identité à la maison, tu n'en as pas besoin. 2. La prochaine fois que tu vas dans ta voiture, tu prends ta carte grise et ton permis de conduire de la main gauche, tu te penches vers la droite, tu devrais voir une sorte de poignée ouvrant un espace de rangement devant la place du mort. De ta main libre (la droite) tu ouvres ce compartiment. Ensuite, tu places les documents présents dans ta main gauche dedans, et tu refermes cet espace. Tu te redresses, et hop, tu es prêt à partir, et tu n'as plus ni permis ni carte grise dans ta poche. Et voila. N'oublie pas de récupérer ton permis la prochaine fois que tu pars à l'étranger et que tu comptes conduire une autre voiture.

Et comme ça, le voleur a les papiers en plus d'avoir la voiture, tout benef pour lui
Avatar de misterB INpactien
misterB Le lundi 13 février 2012 à 20:21:34
Inscrit le vendredi 22 octobre 04 - 145999 commentaires

Et comme ça, le voleur a les papiers en plus d'avoir la voiture, tout benef pour lui

Le problème en france c'est surtout la taille des papiers

un permis britannique est de format CB pas raisin
Avatar de yoda222 INpactien
yoda222 Le mardi 14 février 2012 à 02:06:45
Inscrit le mercredi 5 mai 04 - 4328 commentaires

Et comme ça, le voleur a les papiers en plus d'avoir la voiture, tout benef pour lui


Ça ne change absolument rien.

Enfin si, vous aurez un papier en plus à remplir. Mais il faut faire la balance entre un papier à remplir à peu près jamais (personnellement je ne me fais pas voler ma voiture tous les jours) et le fait de devoir se trimbaler les papiers tous les jours (enfin la fréquence à laquelle vous utiliser votre voiture)

Edité par Yoda222 le mardi 14 février 2012 à 02:09
;