Paiement sans contact
# Paiement sans contact

Les systèmes de paiement sans contact sont des cartes bancaires, porte-clés, cartes à puce ou d'autres dispositifs (téléphone mobile) qui utilisent les technologies des radio-identification (RFID) et de communication en champ proche (CCP/NFC) afin d'effectuer des transactions. Une puce intégrée et une antenne permettent aux consommateurs d'effectuer un paiement avec leur carte sur un lecteur au point de vente, par simple contact ou simple proximité immédiate, sans introduction de la puce dans un appareil de lecture.

Certains fournisseurs affirment que les transactions peuvent être presque deux fois plus rapides qu'une transaction classique. Il n'y a ni signature ni saisie du code confidentiel exigé pour les achats de moins de 25 $ US aux États-Unis, de moins de 250 $ CA au Canada, de moins de 80 Fr. en Suisse ou de moins de 50 € en Belgique et en France. Certaines recherches indiquent que les consommateurs sont enclins à dépenser plus d'argent en raison de la facilité des petites transactions, d'autres avertissent de l'existence de failles de sécurité permettant d'outrepasser les limitations de paiements sans avoir à saisir de code confidentiel.

## Terminologie

L'Académie française a relevé le caractère paradoxal de l'appellation « sans contact » pour désigner un procédé qui permet, au contraire, un paiement par simple contact, plutôt que par insertion. La désignation correcte serait donc « paiement par contact » ou « paiement sans insertion ». En effet, une étude menée par MasterCard a montré que 92,6 % des utilisateurs de moyens de paiement dits « sans contact » avaient acquis le réflexe de poser la carte sur le lecteur et non de la tenir à distance, donc « sans contact » au sens propre.

## Histoire

Plusieurs expérimentations de paiement sans contact ont eu lieu depuis le milieu des années 1990 :

* Hong Kong Octopus Cards Limited : lancée en 1997 pour l'utilisation des transports en commun. Le succès fut au rendez-vous et le concept fut élargi aux commerces de la ville. Chaque jour, environ 6,5 millions de dollars sont échangés grâce à ce système. Octopus Card utilise la technologie Felica développée par Sony, utilisant la même fréquence que le NFC ;
* ExxonMobil Speedpass : introduit par Exxon en 1997 dans le but de proposer un service simple, et permettant de fidéliser sa clientèle. La technologie utilisée est encore une fois basée sur la RFID ;
* Paiement sans contact Visa en Corée du Sud : depuis 1998, la Corée du Sud compte environ 6 à 7 millions de cartes sans contact Visa ;
* MasterCard Paypass : annoncée en décembre 2002, cette solution a été développée pour les commerces où la vitesse est essentielle (restauration rapide, stations essence, cinéma…). Encore une fois, la technologie NFC fut utilisée pour cette opération.

En France, la première expérimentation de paiement sans contact à lieu en octobre 2005 pendant 6 mois à Caen dans des magasins du groupe Cofinoga (Galeries Lafayette, Monoprix) et parkings Vinci avec un téléphone mobile Samsung NFC de chez Orange en collaboration avec Philips Semiconducteur. Pour la première fois, le système autorise également la réception de contenus audiovisuels, comme des horaires de bus ou bandes-annonces de $cinéma^,.$ Du 19 novembre 2007 à 2009, cette expérimentation est étendue à plus de commerces et trois opérateurs mobiles supplémentaires (Bouygues Telecom, SFR et NRJ Mobile) à Caen, ainsi qu'à Strasbourg, là aussi grâce à la norme NFC. D'autres projets sont menés à Nice, Bordeaux, Toulouse et avec la RATP en Île-de-France.

En juin 2007, le paiement sans contact, cette fois avec la carte bleue Visa, est testé à la Fnac de La Défense à Paris, auprès d'employés de la Société générale et le 5 novembre 2007, Orange, la SNCF et la régie de transports urbains Keolis s'associent pour mener pendant 2 mois une autre expérimentation avec téléphones mobiles dans le métro, les bus et les trains TER à $Rennes^,$ Mais ces expérimentations demeurent provisoires.

Après un test effectué avec 27 usagers d'octobre 2005 à novembre 2006, le 21 mai 2010 à Nice, Lignes d'Azur est le premier opérateur de transport en Europe, qui inclut dans son offre une application pérenne autorisant le paiement de ses titres de transport, en l'occurrence de tramways et de bus, avec une carte bancaire sans contact ou un téléphone mobile NFC (Samsung), sur la base de la technologie dite de communication en champ proche (NFC), succédant à la radio-identification (RFID), ainsi que leur chargement sur et avec son téléphone mobile, de même que la validation de l'accès à ces modes de transports avec ces deux $supports^,.$ En octobre 2011, le paiement sans contact du stationnement à Strasbourg est rendu possible sur 765 horodateurs. Le système mis en œuvre à Nice sera repris sur les réseaux de tramways et de bus de Caen et Strasbourg, respectivement les 18 et 25 juin 2013, où la validation s'effectue aussi directement avec son téléphone mobile $NFC^,,$ ou par la suite testé à Paris sur la carte Navigo en juillet 2018, avant d'être adopté le 25 septembre $2019^,^,.$

Exemples d'applications et de technologies, Smart Card Alliance 2003 :

| Nom | Nombre d'outils utilisés | Technologie | Forme |
| - | - | - | - |
| Hong Kong Octopus Card | 9 millions | Felica - 13,56 MHz | Carte plastique |
| ExxonMobil Speedpass | 6 millions | Texas Instrument - Low Frequency RF | Porte-clés, bracelets, transpondeur |
| Paiement sans contact Visa en Corée du Sud | 7 millions | ISO 14443 - 13,56 MHz | Mobile, Carte plastique |
| MasterCard Paypass | Pilot | ISO 14443 - 13,56 MHz | Carte plastique |

## Déploiement par pays

### Royaume-Uni

Au Royaume-Uni, il y avait 30,3 millions de cartes sans contact en octobre 2012. Introduites en 2007, et limité aux opérations de moins de 20 livres, il y en a 58 millions fin 2014 (+ 52 %/an). Il y a eu 319 millions de transactions en 2014 (+218 %/an), pour 2,3 milliards de livres (+ 255 %/an) : 2,7 % du montant total des transactions par carte, soit une transaction moyenne de 8,26 £. À Londres, près du tiers des paiements par carte inférieurs à 20 livres se font sans contact, notamment pour Transport for London.

### France

En France, le plafond du paiement sans contact est de 50 euros à partir du 11 mai 2020, premier jour du dé-confinement lié à la pandémie de Covid-19 . Il était de 20 euros jusqu'en septembre 2017 et de 30 euros entre octobre 2017 et mai 2020. Le dernier relèvement du plafond, déjà à l'étude avant la pandémie, vise à favoriser ce mode de paiement, qui réduirait la propagation de la maladie, quoique l'OMS et la Banque de France se montrent rassurantes sur les risques attribués à la circulation des billets de banque.

47 % des transactions en 2020 étaient sans contact, contre seulement 1,68% en $2015^,.$ En décembre 2017, 44 % des commerces CB, soit 649 000 commerces, acceptaient les paiements sans $contact^,.$ De plus, 47,2 millions de cartes CB sont équipées de la fonction « paiement sans contact », soit 71 % du parc CB en décembre 2017.

### Pologne

En Pologne, près de 33 % des transactions étaient sans contact en 2014. En 2018, cette part atteint 80 %.

## Économie

Le paiement sans contact est utilisé dans de nombreux pays depuis le début du XXIe siècle, et sur plusieurs continents : Asie, Amérique du Nord, et Europe principalement.

L'utilisation du paiement sans contact est encouragée par de nombreuses associations, notamment la Smart Card Alliance.

La promotion de l'utilisation des systèmes de paiement sans contact, notamment par les banques, a pour but d'augmenter le volume de transactions, de réduire le paiement en espèces, et de fidéliser les utilisateurs.

Pour les vendeurs, plusieurs avantages sont avancés par ces associations : temps de transaction écourté, coût de l'opération diminué… Pour les utilisateurs, l'avantage de payer en effectuant le moins de mouvement possible, la sécurité de ne pas avoir à montrer la carte de paiement…

En France, Cityzi, qui regroupe les principaux opérateurs de télécommunication, des banques, des opérateurs de transport, des commerçants et des acteurs industriels, a pour but de promouvoir le NFC comme moyen de paiement à l'aide d'un téléphone portable. Cette initiative date de 2010.

Le Groupement des cartes bancaires CB a mis en place des normes afin d'assurer l'« interbancarité » des cartes de paiement et des téléphones mobiles sans contact. Une carte bancaire est compatible sans contact si un pictogramme figure sur le recto de la carte, près de la puce.

### Bénéfices pour les banques

Avec le développement du paiement sans contact, les consommateurs utilisent de plus en plus leur carte bancaire pour régler leurs petits achats au détriment du paiement par espèces. Or, sur chaque paiement par carte bancaire, la banque du commerçant prélève une commission. Le paiement sans contact permet aux banques de prélever des commissions sur des achats qui auparavant leur échappaient.

### Bénéfices pour les commerçants

* Temps de transaction diminué : 10 à 15 secondes économisées par action ;
* Revenu augmenté : résultat du temps de transaction diminué et somme dépensée plus importante que le paiement en espèces ;
* Efficacité de l'opération augmentée et diminution de ses coûts : moins de gestion d'espèces et risque diminué de vols ;
* Meilleure prise en compte des profils des clients : collecte et exploitation des données de clients facilitées ;
* Visibilité de la marque de l'enseigne : marque visible sur les outils d'encaissement ;
* Différenciation concurrentielle : apporte un moyen supplémentaire aux utilisateurs d'acheter.

### Bénéfices pour les émetteurs de cartes de paiement

* Diminution du marché de l'espèce ;
* Augmenter le volume des transactions ;
* Fidéliser sa clientèle en offrant un moyen de paiement plus simple ;
* Partenariat ;
* Nouvelles opportunités de services.

## Principe de fonctionnement

### Communication

La technologie permettant le paiement sans contact est principalement basée sur la Radio Frequency Identification (RFID). La RFID est un moyen de communication de données et d'identification automatique.

Il y a plusieurs gammes de fréquence dans les caractéristiques de la RFID selon la norme ISO/CEI $18000^,,$ comme :

* LF : 125 kHz - 134,2 kHz : basses fréquences ;
* HF : 13,56 MHz (dans l'une des bandes ISM : hautes fréquences ;
* UHF : 433 MHz (dans l'une des bandes ISM : ultra hautes fréquences ;
* UHF : 860 MHz - 960 MHz : ultra hautes fréquences ;
* SHF : 2,45 GHz (dans l'une des bandes ISM : super hautes fréquences.

Les tags ou étiquettes RFID UHF à 900 MHz possèdent des antennes imprimées ou gravées. Ils peuvent être lus à plusieurs mètres. L'eau ou le métal peuvent empêcher la communication, du fait de la fréquence utilisée mais aussi des design particuliers d’antenne. Les fréquences UHF réservées à la RFID n’étant pas harmonisées dans toutes les régions du monde (entre 860 et 960 MHz), les tags doivent généralement présenter des bandes passantes importantes qui réduisent leurs performances.

Les tags RFID LF 125 kHz-135 kHz sont adaptés aux applications de logistique, traçabilité et le marquages des êtres vivants (chiens, chats…). Les caractéristiques physiques de ces tags, d'un poids et une taille réduits, font d'eux des candidats idéaux pour être intégrés dans tout type de matériaux, textiles, métaux, plastiques, etc.

Les tags RFID HF 13,56 MHz sont utilisés dans des applications de transport (bagages) et d’identité (passeport, pass Navigo, cartes sans contact). Cette technologie est à la base des applications NFC qui équipe de plus en plus de smartphones.

Une autre approche de la technologie du paiement sans contact est le NFC. NFC est une technologie sans fil à courte portée provenant de la famille RFID, elle a été normalisée et promue par Sony, Philips et Nokia, qui ont fondé le NFC Forum en 2004.

Les spécifications de la NFC sont données par les normes ISO/IEC 18092 NFC IP-1, ISO/IEC $14443^,^,^,^,$ et ISO/IEC $15693^,^,^,.$

Toutes les normes ont des modes de communication distinct, la norme ISO 21481 (NFCIP-2) permet de sélectionner le bon mode de communication.

tags NFC définis par le NFC Forum :

| | Tag de type 1 | Tag de type 2 | Tag de type 3 | Tag de type 4 | Tag de type 5 |
| - | - | - | - | - | - |
| Basé sur | ISO-14443A standard | ISO-14443A standard | The Japanese Industrial Standard (JIS) X 6319-4. | ISO-14443A standard | ISO-14443A standard |
| Utilité | Ecriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule | Ecriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule | Pre-configuré lors de la fabrication pour être soit lu et relu en écriture ou en lecture seule | Pre-configuré lors de la fabrication pour être soit lu et relu en écriture ou en lecture seule | Écriture et lecture possible, les utilisateurs peuvent configurer le tag pour la lecture seule |
| Mémoire | 96 bytes de mémoire, extensible jusque 2 KiB | 96 bytes de mémoire, extensible jusque 2 KiB | Mémoire variable, jusque 1 MiB par service | Mémoire variable, jusque 32 KiB par service | Mémoire variable 192/768/3 584 Bytes |
| Débit (vitesse) | 106 kbit/s | 106 kbit/s | Deux débits de communication 212 ou 424 kbit/s | Trois débits de communication 106, 212 ou 424 kbit/s | 106 kbit/s |
| Collision | Pas de protection des collisions de données | Anti-collision | Anti-collision | Anti-collision | Anti-collision |
| Compatibilité | Topaz, Broadcom BCM20203 | NXP MIFARE Ultralight | Sony FeliCa | NXP DESFire, SmartMX-JCOP | NXP MIFARE Classic 1k, MIFARE Classic 4K, and Classic Mini |

Les caractéristiques correspondantes aux normes NFC sont :

* Une fréquence de 13,56 MHz ;
* Un taux de transfert estimé à 424 kbit/s ;
* Une distance de communication de 0 à 10 cm ;
* Une connexion par simple mouvement ou contact (touché) ;
* Compatible avec le Bluetooth ou le Wi-Fi, la technologies NFC peut intégrer divers appareils comme les smartphones pour le paiement sécurisé ou le transfert d'images entre appareils photos.

### Support

Un appareil qui utilise la technologie NFC peut être configuré de deux façons :

* actif : le dispositif est alimenté par lui-même et émet les ondes ;
* passif : l'appareil est alimenté par des ondes reçues par un second appareil actif.

Deux différentes communications peuvent donc être configurées. Entre deux périphériques actifs, le champ est généré en alternance. Entre un dispositif actif et l'autre passif, le champ sera généré uniquement par le dispositif actif.

Selon les normes NFC, il y a trois modes de fonctionnement différents :

* Reader/Writer mode : Le dispositif NFC est capable de lire des tags (étiquettes) NFC passives normalisées par le NFC Forum. Ce mode de lecture / écriture via l'interface RF est conforme à la norme ISO 14443. Il existe aussi un système similaire mais non compatible : FeliCa ;
* Card Emulation mode : L'appareil (par exemple un smartphone) peut émuler une carte NFC sans adaptateur d'infrastructure de paiement. Les cartes et étiquettes ((en) : tags) sont techniquement proches, mais les cartes sans contact utilisées dans les paiements intègrent des technologies supplémentaires pour stocker des données sécurisées ;
* Peer-to-peer (P2P) mode : Deux dispositifs NFC actifs peuvent échanger des données, tels que des cartes de visite virtuelles ou des photos numériques. Le mode P2P est normalisé par la norme ISO / IEC 18092 $standard^,.$

Un smartphone pourra donc tenir le rôle de support physique actif ou/et passif tandis que les smart cards sont uniquement passives, comme les supports avec une étiquette RFID et une antenne sans batterie. Les nouveaux téléphones sont équipés de la technologie NFC compatible avec les puces RFID. De plus, certains smartphones peuvent émuler des cartes en inscrivant des données sur le tag embarqué de l'appareil. Ces téléphones compatibles sont de plus en plus nombreux. En voici une liste non exhaustive.

L'impact de ces smartphones est de plus en plus grand, et ils deviendront probablement le nouveau portefeuille électronique, remplaçant la carte de crédit en plastique.

Un problème est que l'écosystème de paiement reste souvent lié à Google Wallet pour les smartphones Android, c'est pour cette raison que d'autres systèmes de micro-paiement permettent d'utiliser des écosystèmes différents, tel que Apple Pay. De plus, le niveau de sécurité reste identique sans ajout de composants physiques, mais simplement par téléchargement d'une application. Un autre système se nomme IDA-Pay.

## Sécurité

### Risques encourus

La somme maximale d'une transaction sans besoin de code étant limitée à 50 € en France, 30 £ au Royaume-Uni ou encore 100 $ CA au Canada. Cela limite l'importance des transactions usurpées.

La fraude est très rare : au Royaume-Uni, elle a représenté 51 000 £ pour le premier semestre 2014 : 0,007 % des paiements sans contact.

En France, l'Observatoire de la sécurité des moyens de paiement indique un taux de fraude de 0,019% soit le double d'une transaction avec code et un peu plus faible qu'un retrait au distributeur (avant l'augmentation du montant du sans-contact de 30 à 50 €). Néanmoins, en cas de blocage de la carte après la perte ou le vol de la carte, le sans-contact ne se bloque pas et continue à fonctionner jusqu'à que la limite de 5 transactions ou 250€ cumulées soient atteintes. Mais le consommateur ne subit aucun préjudice financier pour les transactions qu'il n'a pas effectuées, sauf en cas de fraude, et le commerçant conserve sa garantie de $paiement^,.$ Ce risque est donc assumé par les émetteurs des cartes.

### Évolution du niveau de système de sécurité

La sécurité n'est pas une composante prévue initialement pour la technologie RFID classique. La Mifare Card a donc été créée pour ajouter une fonction de sécurité à la RFID. Cependant, la MIFARE Card Classic ne présente pas une réelle sécurité. En effet sa fonction de sécurité est assurée par Crypto-1. Le principe de Crypto-1 est basé sur la sécurité par l'obscurité, le fonctionnement étant de dissimuler les informations relatives au fonctionnement du procédé de sécurité.

Ce principe de sécurisation n'est pas réputé suffisant, car il va notamment à l'encontre du principe de Kerckhoffs (si le système de chiffrement est public, largement étudié, et qu'aucune attaque n'est connue, alors le système est d'autant plus sûr). C'est pour cette raison que Philips a créé, en 2002, la Mifare DesFire pour résoudre le problème des MiFare Classic et Ultralight.

Ce système repose sur AES ou 3DES. Cependant le problème est qu'il se fonde sur un chiffrement symétrique, ce qui oblige les cartes et les lecteurs de cartes à partager un secret. Cela oblige à initialiser les lecteurs avec une seule clé, ce qui n'est pas très sécurisé.

Le chiffrement symétrique n'est donc pas extensible pour les évolutions que connaît la technologie NFC. Un chiffrement asymétrique permettrait de résoudre ce problème.

### Cartes à puces

Les risques de failles de sécurité des smart cards sont assez faibles. En effet, la technologie NFC permet une communication autour d'un champ avoisinant les 10 cm. Des personnes peuvent alors tenter d'atteindre les données des utilisateurs par un simple contact.

Les smart cards mettent en œuvre des fonctions de sécurité à données chiffrées. Les applications qui utilisent les cartes à puce assurent l'intégrité, la confidentialité des informations, ainsi que les points suivants :

* Authentification mutuelle : les deux supports vont prouver leur authenticité avant de lancer une transaction sécurisée ;
* Sécurité forte de l'information : les données et la communication sont chiffrées pour éviter l'espionnage. On utilise alors le hachage ou la signature numérique avec des clés de chiffrement dynamiques ;
* Sécurité forte de la smart card : une smart card est difficile à cloner ou à dupliquer. Les puces incluses dans les cartes permettent de détecter les tentatives de sabotage grâce aux matériels ou logiciels (des capteurs peuvent détecter des attaques thermiques ou UV) ;
* Authentifications et accès à l'information autorisé : la smart card permet un accès unique aux informations authentifiés pour protéger l'accès à d'autres informations personnelles ;
* Protection contre la tentative de reconnexion : la smart card peut générer des données dynamiquement à chaque connexion pour empêcher les fraudeurs de tenter de lire une carte plusieurs fois ;
* Authentification biométrique : seuls les utilisateurs disposant d'une correspondance biométrique stockée sur la smart card peuvent bénéficier d'un accès aux données.

### Risques éventuels

Au cours de la conférence de Sécurité Hackito Ergo Sum 2012, un consultant de British Telecom, Renaud Lifchitz a montré la faiblesse des cartes de paiement sans contact, notamment en montrant la possibilité de lecture (jusqu'à une distance de 1,5 mètre avec un amplificateur et une antenne) de certaines informations contenues sur la carte sans protection particulière : numéro de carte, possesseur, derniers paiements, et date d'expiration.

Après une étude menée durant l'été 2012, la CNIL a confirmé la possibilité d'intercepter certaines données à distance, et obtenu des industriels du secteur la suppression des informations sur le porteur de la carte (effectif sur les cartes éditées à compter de fin 2012) et sur l'historique des achats (effectifs sur les cartes éditées à compter de fin 2013). Restent donc récupérables sans contact les informations : numéro de carte et date d'expiration, ces informations étant indispensables pour l’opération de paiement (identification de la carte).

### Attaque par relais

L'attaque par relais est un type d'attaque permettant aux attaquants d'utiliser le module NFC d'une personne dans le but d'effectuer un achat à distance. L'attaquant dispose d'un lecteur de carte relié à un dispositif de communication permettant d'émuler à distance une carte, qui est en réalité la carte initiale de l'acheteur. De l'autre côté, la carte émulée sert à effectuer une opération non voulue.

