« La guerre au laser, c’est pour bientôt | Main | La rétine artificielle en bonne voie »

La carte Navigo belge crache le morceau

Les dévots de la puce RFID ont encore frappé. En Belgique. La STIB, qui est à Bruxelles ce que la RATP est à Paris, a lancé l’année dernière sa carte Mobib, proche de la Navigo, bien connue des franciliens. On découvre aujourd’hui que cette Mobib est un mouchard inquiétant, puisqu’un geek saura lui faire avouer les trois derniers trajets effectués par son titulaire.

Cette carte contient une puce RFID, du même genre que celle de notre Navigo. Une puce capable de dialoguer à distance avec les lecteurs RFID installés dans les portillons d’accès au réseau de transport. Officiellement, la carte Navigo ne fournit aux bornes qu’un simple identifiant. Ce qui suffit largement à scandaliser les défenseurs des libertés publiques. En effet, la RATP peut faire le lien avec l’identité du porteur, et par ailleurs les trajets effectués, en théorie mémorisés pendant 48 heures. Hypocritement, l’anonymat est prévu, en option, mais c’est plus cher.

C’est une histoire bien plus grave que l’on découvre en Belgique. La puce RFID de la carte bruxelloise contient elle-même, non seulement l’identité du porteur, sa date de naissance et son code postal, mais encore le détail des trois derniers trajets effectués. En clair. Pour obtenir ces informations, un collègue, un employeur, un conjoint, n’importe quel curieux bricoleur devra simplement se procurer un lecteur de carte RFID et un logiciel. Et puisque la puce RFID est «sans contact», il pourra même opérer à quelque distance, lire une carte à l’insu de son titulaire, au fond d’une poche, d’un sac à main.

Ce joli petit scandale a été révélé par une équipe de chercheurs du GSI (Groupe sécurité de l’information) de l’Université catholique de Louvain, dirigée par le Français Gildas Avoine. Leur communiqué apporte d’ailleurs la preuve de ce qu’il avance, en proposant un logiciel capable de faire parler une carte Mobib et de visualiser sur une carte les trois derniers trajets effectués. La même équipe avait démontré en juin 2007 que les passeports belges à puce RFID étaient particulièrement bavards.

On se demande comment on peut en arriver là. Comment on peut commander, concevoir, réaliser, livrer, accepter, mettre en route une application informatique aussi calamiteuse. On hésite : bêtise ou méchanceté ? On a du mal à imaginer qu’une erreur de conception aussi énorme puisse résulter d’une volonté délibérée de faciliter le travail des curieux. Mais sinon, c’est encore plus fou : ils ne l’auraient même pas fait exprès ?

Sous réserve d’inventaire, cette boulette qui en rappelle tant d’autres pourrait bien résulter, notamment, d’un syndrome qui ne sévit pas qu’en Belgique, loin s’en faut. N’est-ce pas le même genre de technolâtrie inconséquente qui a permis à d’autres technocrates de se faire croire que la démocratie gagnerait à remplacer au plus vite l’urne par un ordinateur, infiniment plus piratable ? Ou que nos passeports seraient plus sûrs, si on les dotait d’une puce RFID, bavarde et clonable. Et d’une couche de biométrie, alors qu’un enfant de dix ans peut fabriquer une fausse empreinte digitale.

Posted on jeu. 8 janv. 2009 by Registered CommenterPierre Vandeginste in | Comments19 Comments

PrintView Printer Friendly Version

EmailEmail Article to Friend

Reader Comments (19)

S'il s'agit vraiment d'une erreur de conception, c'est un peu gros quand même...

Cela ne m'étonne pas du tout en fait, on veut nous faire croire qu'on est de plus en plus libre (téléphone portable, puce RFID pour payer afin de ne pas avoir à sortir quoi que ce soit, etc...) alors qu'au final, et une partie de la population en est consciente, on veut nous ficher.

Je généralise peut-être un peu trop, mais bon, les récents projets de fichage ne nous incitent pas à croire qu'on veut seulement notre bien.

Après les chaussettes pour téléphone portable, on va avoir les versions "carte navigo" en aluminium avec système d'alarme en cas de détection d'un lecteur. lol

ven. 9/01/09 12:40 | Unregistered Commenter@gor

Lire les dernières validations du passe sont "faciles" puisque cette informations se trouvent dans une zone non protégée, encore faut il comprendre les codes car ce ne sont pas les nom des stations qui sont écrits dans la carte..... quand a dire que l'on peut lire a distance et l'insu des carte sous prétexte qu'elles soient sans contact... MDR !!!! cette techno sans contact à une porte de quelques centimetres(3/4cm)....
Bref il n'y a aucun exploit à lire cette zone de la carte.... par contre ecrire un nouveau contrat, faire un clone, j'aimerai bien voir ca... ;)

ven. 9/01/09 16:19 | Unregistered CommenterJJ

"Et puisque la puce RFID est «sans contact», il pourra même opérer à quelque distance, lire une carte à l’insu de son titulaire, au fond d’une poche, d’un sac à main."

Etant détenteur d'une de ces fameuses cartes "mobib", je peux vous assurer que cela est totalement impossible... puisqu'il est parfois impossible de valider son trajet tellement la portée est faible.

Ensuite, je pense qu'il y aurait peu d'intérêt à visualiser les trajets car à Bruxelles le metro ne dispose pas de barrière comme en France : on ne valide le trajet que par principe, et donc personne ne le fait (après tout, l'abonnement est payé)

Il n'empêche qu'on se demande vraiment comment sont choisis les constructeurs de ces merveilleux engins, systématiquement en panne ou impossibles à valider...

ven. 9/01/09 20:42 | Unregistered CommenterSam

@Sam
Ma formule : « il pourra même opérer à quelque distance » est un raccourci. Je dis par là, un peu vite, qu'il est techniquement possible de lire cette puce RFID d'un peu plus loin que ce qui est prévu au départ. Mais cela suppose de la part de l'indiscret un minimum d'efforts. En deux mots, il doit utiliser une plus grosse antenne que celle d'un lecteur standard, envoyer plus d'énergie pour alimenter de plus loin la puce, etc. C'est un peu compliqué, mais cela reste à la portée d'un gosse de 16 ans qui a envie de s'amuser, et qui trouvera sur le Web tous les détails.

ven. 9/01/09 20:49 | Registered CommenterPierre Vandeginste

J'espère que le virus de la paranoïa au fichage (maladie très très très française) ne va pas contaminer les autres pays car c'est vraiment risible...

Vous pensez vraiment que Big Brother s'intéresse à votre petite personne???? A moins que vous ayez fait un crime; dans ce cas, je le féliciterai.

AB, de Belgique, en France

sam. 10/01/09 10:00 | Unregistered CommenterAB

@AB

Mon futur employeur/mon assurance n'appréciera peut-être pas que je sois passer par un hopital spécialisé dans les maladies vénériennes ou le cancer.
On a des choses a cacher car on ne vit pas dans un monde merveilleux, et un criminel pendra le vélo, sa voiture, ou le passe navigo trouvé sur un trottoir.
Tu CROIS n'avoir rien a cacher, rien à te repprocher, mais ce n'est pas parceque légalement c'est le cas, que ces informations n'interressent pas du monde.

sam. 10/01/09 11:08 | Unregistered Commentermatou

@ matou

Les données ne sont accessibles qu'en cas de requêtes officielle par la justice ou des bureaux de la sécurité d'un état. Aucune instance privée n'y a accès en démocratie où la presse est libre et représente un cinquième pouvoir.
Faux pas délirer...

Je suis fiché, tant mieux!
Ainsi ils savent que je n'ai rien à me reprocher...

Avec une telle paranoïa, va vivre dans une bergerie dans le Larzac mais là, fais gaffe, tu risques d'intéresser vraiment les RG.

Note: étrange mais le directeur du département de l'UCL qui a révélé le soit-disant "scandal" est... français!

sam. 10/01/09 11:39 | Unregistered CommenterAB

AB à acrit :
Les données ne sont accessibles qu'en cas de requêtes officielle par la justice ou des bureaux de la sécurité d'un état. Aucune instance privée n'y a accès en démocratie où la presse est libre et représente un cinquième pouvoir.
Faux pas délirer...

Mais tu vis dans quel monde ? Personne n'est incorruptible, et les données circulent toujours. C'est pas comme si d'anciens policiers ne s'était pas déjà fait prendre pour avoir vendu des fiches de casiers judiciaires à des "futurs employeur" , ou des membres de la sécu filer des renseignements aux assurances.

sam. 10/01/09 11:48 | Unregistered Commentermatou

@AB
Qui parle de Big Brother ? Vous !
C'est intéressant, d'ailleurs, que vous ayez cru lire une référence à Big Brother dans un texte qui parle de tout autre chose… 
Relisez-moi, j'évoque : « un collègue, un employeur, un conjoint, n’importe quel curieux bricoleur ». C'est de Little Brother que je parle. Et vous comprenez le contraire : pourquoi ?

sam. 10/01/09 12:45 | Registered CommenterPierre Vandeginste

Si la carte est "piratable" c'est seulement là que je vois un problème (pouvoir se faire des cartes à l'oeil... si c'est réellement possible).

Quant à savoir ce que pourrait bien faire quelqu'un des 3 derniers parcours que j'ai fait... il serait déçu : aller et revenir du boulot. Ya plus passionnant ;)

dim. 11/01/09 18:26 | Unregistered CommenterLegweak

Il n'y a aucune paranoïa à craindre ce que la STIB engrange comme information. Outre les trois derniers trajets (qui sont sur la carte) elle peut stocker sur dans sa base de données centrales TOUS les déplacements des utilisateurs de mobib. Je n'ai aucune envie que l'on stocke TOUS mes déplacements en transports en commun. Cela ne regarde que moi. Et l'imagination des gens (ou des autorités) malveillants dépasse largement la capacité d'imagination du parano moyen. Les hollandais tenait un fichier des juifs que les Nazis ont trouvé très pratique. Les intentions de l'administration hollandaise n'était pas nécessairement de fournir de telles informations.
Nul n'a besoin de connaitre nominativement tous les déplacements. Pour la gestion, une statistique anonyme doit suffire.

lun. 12/01/09 00:50 | Unregistered Commenterjcd

Oula, je pensais pas qu'on réagirait comme ça.

Ce que je voulais mettre en évidence, c'est le fait qu'ils gardent les trajets effectués en mémoire. Comme dis plus haut, ça ne sert à rien en soi, un simple comptage des passages suffit pour obtenir des statistiques.

Et bon, je me fou un peu de big brother ou je ne sais quel autre coco qui veut nous voir, je n'ai rien à me reprocher, je vie ma petite vie tranquille...

lun. 12/01/09 18:25 | Unregistered Commenter@gor

Navigo et Mobib sont des exemples emblématiques. Mais d'autres suivront. Nous produisons en effet tellement de données numériques via nos blogs perso, nos cartes de transports, nos cartes de fidélité, nos cartes de cinéma, nos téléphones portables... qu'en croisant ces données, certains espèrent, à juste titre, créer de nouveaux services. Certains cherchent par exemple à utiliser les photos de vacances des uns et des autres pour reconstituer les monuments en 3D, et ainsi contribuer à lancer un système de géolocalisation type Google Earth, mais en 3D.
Autre exemple : le logiciel Urban Mobs analyse l'activité des téléphones portables, de manière anonyme, pour créer une représentation en 3D des flux de population. Des applications sont envisagées comme croiser ces données avec celles du métro pour améliorer la gestion des transports en commun.
De nombreux progrès peuvent être effectuées en exploitant toutes ces données numériques, pour le bénéfice de tous, mais la question de la confidentialité des données est cruciale pour éviter des bides type Mobib.

mer. 28/01/09 10:04 | Unregistered CommenterCedric Duval

Ces expériences sont passionnantes.
Je crains fort qu'aucune baguette magique ne puisse garantir que nos données personnelles restent personnelles. Mais je crois aussi qu'aucune baguette magique ne permet à Big (ou little) Brother de mesurer avec certitude ce que valent les données qu'il pèche. Je peux dire de moi ce que je veux sur Facebook, je peux prêter ou emprunter un cellulaire, une carte Navigo… 
L'expérience montre que l'un des plus gros problèmes que posent les fichiers policiers, c'est qu'ils sont bourrés d'inexactitudes. Le plus grave étant bien sûr que ceux qui s'en servent risquent de leur faire confiance… 

mer. 28/01/09 11:32 | Registered CommenterPierre Vandeginste

Bonjour à tous,

j'ai créé une pétition contre la nouvelle carte à puce de la Stib (Mobib). Merci de la signer si vous êtes d'accord avec mon propos et de la diffuser à un maximum de monde !

Adresse de la pétition : http://www.lapetition.be/petition.php?petid=4465

Pétition : Non à la carte Mobib

ven. 12/06/09 17:01 | Unregistered CommenterAM

4 observations:

1. En quoi l'anonymat des cartes empêcherait-elle les statistiques, une des 2 finalités de la carte Mobib (voir https://www.privacycommission.be/elg/publicRegister.htm?decArchiveId=45567)

2. La STIB répond à la Commission vie privé que la carte Mobib a pour finalité de "lutter contre la fraude et les infractions de la clientèle": apprécions que la STIB considère la clientèle potentiellement fraudeuse et criminelle, alors que c'est la non-clientèle ... dépourvue de titre de transport qui fraude ou qui sera malfaisante.
remarque: passer par-dessus un portillon automatique est un jeu d'enfant ... par conséquent aussi pour ceux qui n'ont pas l'intention de valider quoi que ce soit.

3. Le champs magnétique des lecteurs de cartes est actif jusqu'à 150cm face à la machine. Donc de prime abord il est préférable de ne pas stationner devant un lecteur Mobib pendant la durée de votre voyage.

4. Abonnement payé! Vous êtes en règle.
La validation obligatoire, et la STIB le sait très bien, ne passerait pas la rampe d'un tribunal.

En attendant lisez la page de mes collègues de l'UCL
http://www.dice.ucl.ac.be/~fstandae/mobib/

sam. 12/06/10 22:50 | Unregistered CommenterPierre

Pour information, le passe navigo de la RATP stocke également
les trois derniers trajets effectués. Et en théorie, la puce
actuelle pourrait en stocker 10.

dim. 17/10/10 14:33 | Unregistered CommenterJJ2

Utiliser une puce comme moyen d'identification et de paiement me fait penser au futur système économique mondial annoncé dans la bible apocalypse chapitre 13 verset 16 il y a plus de 2000 ans :

"Et elle fit que tous, petits et grands, riches et pauvres, libres et esclaves, reçoivent une marque sur leur main droite et leur front et que personne ne puisse acheter et vendre sans avoir la marque le nombre de la bête ou le nombre de son nom, c'est ici la sagesse! Que celui qui a de l'intelligence compte le nombre de la bête ; car c'est un nombre d'homme et ce nombre est six-six-six ."

Regardez comment fonctionne un code barre, le 6 6 6 est partout sur tous les produits de consommation, même sur votre carte d’électeur ! Ce sont les 2 petits traits au début et milieu et à la fin qui en langage code-barre donne le 6 , je n'invente rien, encore simple à vérifier sous Google ...

après le futur krach économique à cause de la dette on va passer au mode d’argent électronique (plus de billets et de liquide) puis à la nano puce implantée sur la main droite ou le front au nom de la sécurité et de la santé…..
on n’arrête pas le progrès, science sans conscience n’est que ruine de l’âme.

sam. 8/12/12 18:05 | Unregistered Commentermeunier tudo

@meunier tudo
Ça veut dire quoi au juste, tout ce blabla ?

mar. 11/12/12 20:23 | Registered CommenterPierre Vandeginste

PostPost a New Comment

Enter your information below to add a new comment.
Author Email (optional):
Author URL (optional):
Post:
 
Some HTML allowed: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <code> <em> <i> <strike> <strong>