Malgré ces avantages, les écrans tactiles introduisent des failles de sécurité supplémentaires qu'il convient de contrer face aux voleurs de cartes déterminés. La conformité à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) est essentielle pour concevoir des systèmes matériels et logiciels sécurisés, permettant aux clients de créer des produits de paiement robustes et protégés sans compromettre la facilité d'utilisation ni l'esthétique. Cet article présente l'évolution des systèmes de paiement aux points de vente (PDV), les failles de sécurité de leurs écrans tactiles et les critères à respecter pour obtenir la certification PCI pour tout terminal tactile.

Écrans tactiles dans les terminaux PDV :
Depuis des décennies, les consommateurs du monde entier règlent leurs achats de biens et services par carte bancaire aux terminaux PDV. Ces terminaux se sont progressivement dotés de petits écrans économiques pour fournir au commerçant et à l'utilisateur davantage d'informations sur le statut de la transaction. Des boutons ont été ajoutés sur les côtés ou en bas de l'écran, alignés sur les boutons virtuels, pour permettre à l'utilisateur de sélectionner des options telles que le type de carte (crédit ou débit), le montant du pourboire et l'impression du reçu. L'utilisateur saisissait les numéros de carte et les codes PIN à l'aide de claviers mécaniques. C'est le cas de la plupart des terminaux de point de vente encore utilisés aujourd'hui.
Une tendance dans le secteur des paiements est de remplacer les petits écrans tactiles monochromes et les boutons mécaniques par des écrans tactiles couleur plus grands. Ces écrans couleur sont plus attrayants visuellement et séduisent autant les commerçants que les consommateurs. Les écrans tactiles permettent également aux fournisseurs de terminaux de point de vente de supprimer les boutons intelligents latéraux/inférieurs et les claviers mécaniques. Cela améliore la fiabilité du système en éliminant les pièces mobiles qui s'usent avec le temps (aussi bien le mécanisme interne du commutateur à touches que l'impression sur la surface des touches). Les écrans tactiles contribuent également à éliminer les risques d'infiltration d'eau autour des touches du terminal. Enfin, les écrans tactiles couleur aident les commerçants dans leurs efforts de branding et de publicité, des tendances qui expliquent la taille croissante des écrans tactiles modernes sur tous types de terminaux de paiement.

Figure 1 - Exemples d'écrans tactiles

Une autre tendance liée à l'intégration d'écrans tactiles plus grands dans les systèmes de paiement est l'essor des caisses enregistreuses électroniques (CEE), qui viennent compléter les terminaux de point de vente (TPV). Les caisses enregistreuses électroniques sont utilisées aussi bien dans les magasins traditionnels à caisses multiples que dans les magasins libre-service, de plus en plus populaires. Les systèmes CEE aident les détaillants à suivre les ventes, à minimiser les erreurs de vente, à gérer les données d'inventaire et à enregistrer simultanément la transaction financière dans leurs systèmes. Les écrans tactiles des CEE offrent une grande flexibilité pour la saisie de données telles que le type et la quantité de produits, les options comme l'achat de sacs et le choix du mode de paiement. Les CEE n'étant généralement pas des dispositifs de paiement sécurisés, elles sont souvent associées à des TPV qui traitent les paiements par carte, téléphone et montre connectée.
Progressivement, les CEE et les TPV ont fusionné pour former un système de paiement unique, sécurisé et tactile. Les écrans tactiles, dont la taille varie d'environ 3,5" à 42", sont devenus une composante essentielle des CEE et des TPV modernes. L'interaction utilisateur, l'avènement de la technologie sans contact NFC, la connectivité mobile et la consolidation des fonctions au sein d'un système unique favorisent l'essor des terminaux de point de vente fixes (tablettes/bornes interactives) ou portables (appareils portables alimentés par batterie), remplaçant ainsi les systèmes ECR-POS autonomes. Les terminaux de point de vente portables permettent aux commerçants d'accepter les paiements partout, à l'intérieur comme à l'extérieur du magasin. La popularité croissante des paiements sans contact, synonymes de simplicité et de praticité, a entraîné une augmentation du nombre de bornes de paiement publiques en libre-service et sans surveillance, notamment dans les distributeurs automatiques, les parcmètres, les pompes à carburant automatiques et les bornes de recharge pour véhicules électriques. Les écrans tactiles plus larges permettent non seulement aux commerçants d'afficher davantage d'informations sur les articles achetés, mais aussi de générer des revenus supplémentaires grâce à la promotion des produits et à la publicité.

Sécurité des terminaux de paiement et conformité PCI :
la sécurité des données utilisateur, telles que le numéro de compte principal (PAN), les informations de carte bancaire (numéro, date d'expiration et cryptogramme visuel) et le code PIN, est devenue une priorité absolue lors de la conception des systèmes de paiement. Les transactions par carte à bande magnétique (à glissement) présentaient des failles de sécurité intrinsèques et étaient plus sujettes aux échecs, la bande magnétique s'usant avec le temps et sous l'effet des champs magnétiques. Des méthodes de paiement par carte plus sécurisées, telles que le paiement sans contact (à puce et code PIN) et le paiement sans contact (communication en champ proche : NFC), constituent des alternatives. Ces méthodes sont complétées par des mécanismes d'authentification alternatifs, comme les codes QR (sur papier ou mobile) et la biométrie (empreinte digitale, visage ou œil). Par ailleurs, l'introduction des écrans tactiles joue un rôle nouveau et essentiel dans la sécurité des systèmes de saisie de code PIN lorsqu'ils remplacent les claviers mécaniques.

Figure 2 - Architecture à deux processeurs pour terminal de point de vente

Le transfert de données tactiles et de code PIN est vulnérable aux attaques de type « homme du milieu » via les superpositions et sous-couches du capteur tactile, voire même via des attaques par sondage sur le bus de communication entre le circuit intégré tactile et le microprocesseur hôte sécurisé, comme évoqué précédemment. Le firmware du contrôleur tactile est vulnérable au piratage, permettant aux attaquants de créer une porte dérobée et d'extraire les données de la carte. La configuration du contrôleur tactile est susceptible d'être modifiée, ce qui peut créer des vulnérabilités dans des systèmes ayant pourtant passé avec succès les tests de certification de sécurité.
De plus, les exigences de conception des écrans tactiles extérieurs incluent une technologie capable de gérer le bruit ambiant extrême, les interférences NFC actives, des normes d'émission strictes, une plage de températures étendue, la détection des gants épais et une immunité extrême à l'humidité, y compris celle provenant de liquides de nettoyage hautement conducteurs qui pourraient déclencher de faux événements tactiles. Les vulnérabilités liées à une configuration non authentifiée et aux mises à jour logicielles peuvent également entraîner des attaques par déni de service combinées à des attaques de rançongiciels, pouvant potentiellement mettre hors service l'ensemble du réseau si les terminaux sont connectés au système de mise à jour central, à l'instar d'un réseau de bornes de recharge pour véhicules électriques avec terminaux de paiement intégrés. Ceci crée des défis et des opportunités supplémentaires pour le développeur du système de paiement tactile.

La conformité PCI à la rescousse.
Créé par les principales marques de cartes de paiement (Visa, MasterCard, American Express, Discover et JCB), le Conseil des normes de sécurité de l'industrie des cartes de paiement (PCI SSC) a développé et gère la norme PCI DSS, reconnue mondialement, afin de protéger les données des titulaires de cartes. Les marques de paiement et les acquéreurs ont la responsabilité de créer des produits conformes aux normes PCI pour protéger le stockage, la transmission et le traitement des données des utilisateurs. Selon le type d'application de paiement, les exigences de conformité PCI peuvent varier, ce qui peut influencer les choix de conception matérielle, logicielle et système.

Actuellement, la plupart des fournisseurs de terminaux de point de vente sont conformes aux normes de sécurité des données PCI. Le mécanisme de sécurité PCI vise à isoler le code PIN du numéro de carte et des autres données du titulaire. Ceci garantit la sécurité et l'intégrité de la saisie du code PIN via l'application logicielle et exige une surveillance active de cette dernière ainsi que le chiffrement des données utilisateur à l'aide d'une clé forte. Un contrôle d'accès doit être mis en œuvre pour authentifier l'utilisateur ou le propriétaire du terminal. Des alarmes de défaillance sont recommandées pour signaler toute tentative de falsification, de piratage ou de dysfonctionnement.
Si un système de paiement utilise un module de paiement distinct, pré-certifié PCI DSS pour les transactions sécurisées par carte via un lecteur de cartes à clavier mécanique, l'écran tactile ne transmet aucune information sécurisée sur les lignes de communication. La certification PCI PIN Transaction Security (PTS) de l'écran tactile n'est requise que lorsqu'il est utilisé pour la saisie de données de carte bancaire et/ou de codes PIN (également appelé PoG ou PIN on Glass). Dans ce cas, il est nécessaire de blinder l'interface de communication du contrôleur tactile ou de chiffrer les données des messages tactiles. Le chiffrement offre aux fournisseurs de terminaux de point de vente (TPV) la possibilité de déplacer le circuit intégré du contrôleur tactile vers un circuit imprimé flexible monocouche (FPC) simple et économique, connecté au capteur tactile. Cette configuration permet au fournisseur du capteur tactile de concevoir, tester et expédier le système tactile complet au fournisseur du TPV, réduisant ainsi les coûts et simplifiant la chaîne d'approvisionnement.

Exigences générales de certification PCI :
Les directives de conformité PCI relatives aux écrans tactiles sont régies par la norme PCI-PTS. Les exigences de sécurité des transactions par code PIN peuvent être résumées comme suit :

• Des mesures sont intégrées au système pour permettre la déconnexion en cas de manipulation physique ou logicielle.
• Les données confidentielles des utilisateurs doivent être transférées (toujours cryptées) et ne doivent être conservées que le temps nécessaire
• Les mises à jour logicielles ou le démarrage ne doivent être effectués que si l'intégrité du logiciel peut être vérifiée.
• Seuls les utilisateurs authentifiés peuvent mettre à jour le logiciel
• La clé doit être stockée dans une zone protégée et des mécanismes de sécurité doivent être mis en place pour protéger la charge utile de la clé initiale en production
• L'appareil doit effectuer un autotest et signaler toute anomalie

Pour faciliter la conformité aux dernières exigences PCI, les fonctionnalités suivantes pourraient être intégrées aux produits de contrôleur tactile au niveau système :

• Programme de redémarrage de 24 heures
• Temps d'attente de 15 minutes pour la saisie manuelle des clés
• Chiffrement du code PIN utilisant la norme de chiffrement avancée (AES) au format ISO 4
• Utilisation plus stricte des clés de chiffrement pour leur usage prévu, avec une séparation entre les hiérarchies de clés du client et du fabricant.
• chiffrement PAN
• Protocole de téléchargement de clé à distance TR-34 (RKL)

Un laboratoire certifié PCI valide l'écran tactile afin de garantir sa conformité aux exigences de sécurité de la norme PIN Transaction Security. Cette validation comprend les tests suivants :

• Évaluation de la vulnérabilité de la sécurité de la saisie du code PIN face au piratage.
• Évaluation de l'accès aux données sensibles par la manipulation et l'examen du mécanisme de réponse utilisé dans le système.
• Validation des techniques et documentation de la gestion clé en production.

Pour aller droit au but,
la conception de terminaux de paiement exige de maîtriser la mise en œuvre d'une solution système complète et de normes de sécurité robustes. Des solutions comme la gamme de contrôleurs maXTouch® de Microchip répondent à ces défis complexes grâce à leur interface analogique intégrée et leur firmware propriétaire, configurable pour une communication sécurisée et chiffrée, quelle que soit l'application utilisateur.

Une équipe d'assistance dédiée, telle que les experts en contrôleurs tactiles de Microchip Technology, accompagne les clients dans la conception système et les aide à intégrer les logiciels et les contrôleurs, ainsi qu'à tester et déboguer les produits. Leur expérience auprès des principaux fournisseurs de terminaux de paiement et laboratoires de certification au monde garantit aux clients le soutien nécessaire pour réussir le processus de certification.

À propos de l'auteur :
Vivek Tyagi possède plus de 10 ans d'expérience dans l'industrie des semi-conducteurs et est actuellement responsable marketing produit pour la division Interface Homme-Machine de Microchip Technology. Il est en charge de segments de produits industriels tels que les systèmes de point de vente et les bornes de recharge pour véhicules électriques.

Référence :
https://ww1.microchip.com/downloads/aemDocuments/documents/HMID/ApplicationNotes/ApplicationNotes/DS00004863A.pdf