Étiquette : Zurich

  • Une montre connectée condamne un homme pour agression sexuelle

    Une montre connectée condamne un homme pour agression sexuelle

    Alors que le chiffrement est dans tous les articles, la technologie d’une montre connectée (IoT) fait pencher la balance de la justice helvétique. Une soirée arrosée après le repas de Noël en 2023, une femme ivre est installée dans un véhicule conduit par un chauffeur Uber. La course doit amener cette personne en toute sécurité jusqu’à son domicile. Endormie, elle aurait été abusée sexuellement. Dans ces affaires, les preuves sont difficiles à obtenir. Une parole contre l’autre, un délit dit « à quatre yeux ».

    C’est au cours d’une soirée d’entreprise qu’une femme alcoolisée est placée dans un véhicule avec un chauffeur Uber. Elle doit être emmenée à son domicile en toute sécurité. Le chauffeur, un père de famille de 52 ans est condamné à 18 mois avec sursis, une expulsion du territoire helvétique de cinq ans, et, en réparation du tort moral, 8000 francs suisses sur les 10 000 demandés.

    Reconnue victime grâce à sa montre connectée

    Au cours des derniers mois, trois chauffeurs Uber ont comparu devant les tribunaux de district du canton de Zurich pour agression sexuelle sur des passagères, relate la Neue Zürcher Zeitung (NZZ). En cas d’agression, qui plus est sexuelle, c’est la parole de la victime, contre celle de l’agresseur présumé, sans témoins directs.

    Montre, smartwatch, femme

    En décembre 2023, un repas de Noël est fếté au club Zukunft dans le quartier de Langstrassen. Il est le quartier le plus coloré et varié de Zürich. Au cours des années 70, il était le lieu de la prostitution et de la drogue. Mais depuis le projet « Langstrasse PLUS » de 2001 à 2011, le quartier change de visage.

    En journée, il est le lieu pour savourer plats et spécialités internationales, et faire du shopping. La nuit c’est le lieu branché par excellence, un bar après l’autre, un club suivant l’autre.

    Après le repas de Noël, elle fait la fête au club Zukunft dans le quartier de Langstrassen. Puis, alcoolisée, la victime est placée par sa patronne au sein du Uber. Ivre, elle s’endort.

    La joute entre défense et accusation débute.

    Selon les données enregistrées de la course, le véhicule est arrivé à 3 h 5. Puis une autre course est prise par le chauffeur à 4 h 5. Le chauffeur témoigne que les actes sexuels auraient duré une heure, mais refusant d’avoir des rapports avec la cliente, elle serait partie furieuse de la voiture.

    La femme quant à elle offre une autre version. La « NZZ » relate qu’elle n’a aucun souvenir dudit trajet. Ce qui la réveille est la sensation d’une langue en elle. Elle réalise qu’un homme est allongé au-dessus d’elle. Son soutien-gorge et son pantalon ouverts, elle quitte la voiture avec vivacité.

    C’est à cet instant que l’IoT entre en jeu. Sa montre possède un cardiofréquencemètre. Le tribunal accorde à l’enregistrement de son pouls une preuve à charge. Le trajet débute à 2 h 41, le pouls baisse jusqu’à 87 pulsations par minute. Il reste dans cette zone, une demi-heure après l’arrivée Puis à 3 h 35, le pouls accélère à plus de 100 pulsations par minute. (Crédits : Anna Shvets/Pexels)

    Le président du tribunal justifie la condamnation par le fait qu’il est difficile d’imaginer que la femme se soit satisfaite sexuellement pendant environ une heure, sans intervention du conducteur. Le pouls aurait dû augmenter dès l’arrivée, ce qui contredit la version de l’accusé. Ainsi, le tribunal de district de Dielsdorf condamne l’homme et père de 52 ans à une peine de prison de 18 mois avec sursis, à une expulsion de cinq ans et 8 000 francs suisses de réparation.

  • Faille corrigée dans « le paiement sans contact »

    Faille corrigée dans « le paiement sans contact »

    En septembre 2020, des chercheurs suisses de l’École polytechnique fédérale de Zurich (ETHZ) avaient montré qu’il était possible de tromper les terminaux de paiement et de dépenser des sommes bien supérieures à 50 € (plafond de sans contact) avec une carte bancaire, sans utiliser de code. Ils viennent de remettre ça, le 27 août 2021. Une équipe de scientifiques d’une université suisse a découvert un moyen de contourner les codes PIN (sans qu’il ne soit jamais demandé) des cartes employant la technologie NFC de Mastercard et Maestro.

    Dans son article du 1er septembre 2020, Ouest France indiquait, en parlant des experts, qu’ils expliquaient que : « les cartes Mastercard apportent plus de garanties en termes de sécurité pour des montants élevés ». La vulnérabilité (désormais corrigée) aurait permis aux criminels, cyber ou non, d’utiliser des cartes Mastercard et Maestro volées pour payer des produits coûteux sans avoir à fournir le code à quatre chiffres. En effet, dans un document présenté à la conférence de sécurité USENIX le 21 août, l’équipe dit avoir identifié un problème similaire avec les paiements sans contact des cartes Mastercard et Maestro. Ce document de recherche fut publié en février 2021.

    L’ancêtre du règlement sans contact fut, en quelque sorte « Moneo ». Il est immédiatement passé aux oubliettes, en laissant le champ libre aux recouvrements sans contact. Les cartes de crédit qui le permettent sont extrêmement populaires. Des petits montants peuvent être débités rapidement (plafond augmenté à 50 €) et facilement à la caisse. Avec la mise en place de l’authentification forte le 15 mai, les cartes sont considérées comme sûres, car un code de sécurité est nécessaire pour soustraire des sommes importantes. Les scientifiques jettent un pavé dans la mare : « Le code PIN de votre carte Visa est inutile puisqu’il ne protège pas votre carte contre son utilisation pour des achats frauduleux de grande valeur », martèlent-ils.

    Le porte-monnaie électronique moneo, lancé en 1999 prend fin seize années plus tard. Il arbore la même couleur que la carte verte de la banque EGG. Elle permettait un cash-back à la suite d’un paiement comptant, comme un crédit revolving. La majeure partie du service client fut basée sur le quartier des Deux Lions à Tours. (Crédits : Éric Piermont/AFP)

    La sûreté des transactions est fondée sur la norme EMV (Europay, Mastercard et Visa), elle s’applique à près de 10 milliard de cartes sur Terre, en décembre 2020. Cette norme a été élaborée deux années avant le premier succès de la France à la coupe du monde de football. Bien qu’elle ait été révisée plusieurs fois depuis, cet ensemble complexe de règles présente plusieurs vulnérabilités, qui peuvent être exploitées. Ainsi Le Professeur David Basin, les docteurs Ralf Sasse, et Jorge Toro-Pozo ont découvert un moyen de contourner les codes PIN des cartes sans contact de Mastercard et Maestro.

    Comment se déroule l’attaque

    Ils ont eu besoin d’une carte bancaire volée, de deux smartphones Android et d’une application, développée par leurs soins, installée sur les deux téléphones. L’un des terminaux sera placé près de la carte subtilisée et agira comme un émulateur de terminal de paiement (PoS), incitant la carte à initier une transaction et à partager ses détails, tandis que le second se comportera « comme un émulateur de carte et sera utilisé par un escroc pour transmettre les détails modifiés de la transaction à un véritable terminal de PoS dans un magasin.»

    L’attaque de l’homme du milieu (HDM) est une attaque qui a pour but d’intercepter les transmissions entre deux parties, sans que ni l’une ni l’autre ne puisse se douter que le canal de communication entre elles a été compromis. Deux différentes offensives sont utilisés, l’attaque par relais, et celle par rejeu. (Crédits : DR)

    Du point de vue du commerçant, tout est transparent. Cette attaque donne l’impression qu’un client règle avec son application mobile, mais, en réalité, l’escroc adresse les détails modifiés de la transaction obtenus à partir d’une carte volée. Les pensionnaires de l’ETHZ ont utilisé le même schéma d’attaque de 2020, lorsqu’ils découvraient un moyen de contourner les codes PIN sur les paiements sans contact Visa. À l’instant où que la théorie semblât trop belle pour être vraie, les chercheurs ont déclaré qu’ils l’avaient testée avec succès dans le monde réel.

    Ainsi ils effectuaient des transactions de 200 francs suisses (environ 185 euros), soit un montant supérieur à la limite d’exigence du code PIN pour les banques suisses (avec les cartes Visa Credit, Visa Debit, Visa Électron et V Pay). « Notre méthode fait croire au terminal qu’une carte Mastercard est une carte VISA, explique Jorge Toro-Pozo. La réalité est beaucoup plus complexe qu’il n’y paraît, ajoute-t-il, deux sessions devant se dérouler simultanément pour que cela fonctionne : le terminal de la carte effectue une transaction VISA, tandis que la carte elle-même effectue une transaction Mastercard ». Ils ont utilisé ces méthodes sur deux cartes de crédit Mastercard et deux cartes de débit Maestro émises par quatre banques différentes.

    Déjouer le code PIN

    Leur méthode s’est concentrée sur le contournement des PIN sur d’autres types de cartes, qui n’utilisaient pas le protocole de paiement sans contact Visa. Au lieu de dire au terminal de paiement que le code pin est vérifié et conforme, il lui indique que la transaction bancaire provient d’une carte Visa au lieu de Mastercard/Maestro. Cela revient à modifier l’identifiant d’application (AID) légitime de la carte avec l’AID de Visa : A0000000031010. « Mastercard a mis en place des correctifs sur son réseau au début de l’année, mais Visa ne semble pas avoir abordé ce problème », écrit Catalin Cimpanu dans The Record.

    L’EMV détermine le type d’application présente dans la carte. Tous les émetteurs de cartes doivent posséder un identifiant d’application qui leur est propre. La méthode de sélection de l’application telle que définie dans les spécifications EMV peut toutefois poser des difficultés d’interopérabilités entre la carte et le terminal. (Crédits : Wikipédia)

    Mais l’équipe a poursuivi ses investigations. Car, les failles de sécurité constatées sont principalement dues à la norme de protocole international (EMV). Les erreurs de logique dans cet ensemble de règles sont difficiles à détecter, parce qu’elle compte plus de 2 000 pages. Les membres de l’ETHZ soulignaient, lors du 42e symposium IEEE sur la sécurité et la confidentialité, du 23 au 27 mai 2021, que ces systèmes doivent de plus en plus être révisés automatiquement, le processus étant « trop complexe pour les êtres humains ».