«J'aimerais savoir s'il y des logiciels qui peuvent garantir la sécurité des paiements en ligne.»

«J'aimerais savoir s'il y des logiciels qui peuvent garantir la sécurité des paiements en ligne.»

Le paiement en ligne et les certificats numériques sont des sujets qui intéressent beaucoup de nos lecteurs, la très grande majorité des acheteurs sur le Web et les entreprises vendant des produits / services ou simplement échangeant des documents confidentiels sur Internet. Le respect de la vie privée, la protection des données personnelles et la protection contre la fraude sont devenus des enjeux importants du commerce électronique. Avec les cas très médiatisés de fraude, de vol (ou de perte) de données personnelles ou d'hameçonnage, la méfiance des divers intervenants a augmenté de façon importante. Avec la croissance du P2P («peer to peer» ou «poste à poste») et la hausse des téléchargements de fichiers, la tâche de protection ne se simplifie pas!

Cette présente chronique ne reviendra pas sur ce qui a déjà été couvert – je vous réfère aux diverses chroniques passées sur le thème (Que vaut une signature numérique?, Les transactions en ligne qui font peur, La protection des renseignements personnels, Acheter en ligne: le pour et le contre).

Par contre, ces deux questions me permettent de conclure (probablement temporairement seulement, étant donné la rapide évolution du Web) sur le sujet.

Un site Web ordinaire qui ne fait que présenter de l'information («vitrine») ne nécessite pas un niveau de sécurité comparable à un site qui permet le commerce électronique, collige de l'information sur ses visiteurs ou permet aux visiteurs d'y échanger des documents. Dans ces derniers cas, la sécurité de l'échange est essentielle et devrait être un pré-requis avant d'y effectuer une transaction.

Il en est premièrement de la responsabilité de l'entreprise gérant le site Internet de mettre en place les moyens techniques, informatifs et de recours pour le visiteur afin de sécuriser la transaction et de leur offrir un environnement confidentielle et sécuritaire.

Il est aussi de la responsabilité des visiteurs d'un site de s'assurer que l'environnement dans lequel (et les outils – ordinateur, téléphone, téléphone cellulaire –par lesquels) la transaction se produira est sécuritaire; que leurs NIP / mots de passe sont protégés (tant en ligne qu'hors ligne) et qu'il y a un moyen de faire le suivi de ses transactions pour contrôler le tout. Sans la confiance en un site Web, le visiteur ne devrait pas s'aventurer à y faire des transactions commerciales. Le site visité devrait mettre en forte évidence les moyens qui permettent de garantir la sécurité et la confidentialité. La politique de confidentialité et les recours / garanties devraient également faciles à consulter pour le visiteur.

Existe-t-il des moyens infaillibles afin de protéger les transactions électroniques ou qui peuvent en garantir la sécurité?

Ce qui s'en rapproche probablement le plus sont :

- La présence d'un pare-feu pour empêcher les intrusions (pour le commerçant) et un anti-virus à jour pour le particulier (pour bloquer cheval de Troie, «vers», «zombie» ou autres du même acabit).

- Un environnement SSL («Secure Sockets Layer») – le petit cadenas et le «https' sur la page Internet.

- Une série de codes d'accès / d'authentification et des mesures de contrôle / suivi de transactions.

- La signature électronique / le certificat électronique (parmi les principaux fournisseurs, on retrouve Entrust, Verisign et Thawte – leur logo est affiché sur le site du commerçant).

Les garanties de sécurité proviennent essentiellement de ces éléments et surtout des recours s'il y a problème qui sont mis à la disposition de l'acheteur.

Le site Search Security contient une masse d'information sur le sujet (https://searchsecurity.techtarget.com/).

En ce qui a trait au certificat numérique à l'intérieur de l'entreprise, il sert essentiellement à :

- Authentifier et identifier les individus impliqués dans la transaction.

- Garantir l'intégrité de l'information.

- Assurer la confidentialité de l'information.

- Assurer la non-répudiation de la transaction (on ne peut nier la transaction).

Le certificat protège l'acheteur et le commerçant; ou dans le cas d'un échange de document, l'origine et la destination de l'échange. Pour une entreprise qui héberge son propre site, il devrait y avoir un certificat de serveur. La sécurité du certificat numérique devrait s'accompagner d'un pare-feu, de codes d'accès au système et des mesures de contrôle des transactions. Pour ceux qui veulent en savoir un peu plus sur les clés publiques et la certification numérique, il y a un article intéressant dans @ccélération du CRIM (Centre de recherche informatique de Montréal), No. 9 – Automne 2006, page 67.

En conclusion (et dans la série, «Ce soir, on fait peur au monde») : au cours de l'année 2006, un de nos collègues a été victime des fraudes suivantes :

- Transaction erronée ou frauduleuse par l'entremise de PayPal pour environ 25 $ US;

- Enregistrement sur un site Web de rencontres pour une cinquantaine de $ (clairement une fraude d'après ce qu'il assure!!!);

- Transaction par carte de crédit (achat Web) d'environ 100 $;

- Achat de billets d'avion par carte de crédit pour un vol Nashville – Lagos, par un Californien, auprès d'une agence de Denver;

- Achat pour 22 000 $ au Canada;

- Tentative d'achat d'un ordinateur en ligne par un résident de Verdun!

- Tentative d'hameçonnage par courriel de son compte bancaire ici à Montréal.

Les sources de ces transactions : probablement l'achat d'un billet d'avion dans une agence de voyage en Asie du Sud Est et la consultation de son compte bancaire sur un ordinateur public (non sécurisé). Depuis qu'il a changé de carte de crédit (nouveau numéro), il n'y a plus de transactions erronées ou frauduleuses.

Il ne faudrait donc pas oublier que les fraudes en ligne et hors ligne peuvent s'entrecouper. La protection de ses propres données personnelles est un minimum requis (!), le suivi des transactions est essentiel et l'utilisation des recours mis en place est le seul moyen de récupérer les sommes en jeu lors des fraudes.

Et oui, notre collègue continue à transiger de façon électronique, mais en étant plus prudent. En fait, aujourd'hui même, il me confiait qu'il y a eu un dépôt de 675 $ dans son compte bancaire, sans qu'il sache d'où cela pouvait venir! Peut-être cela venait-il d'un site de rencontres.