La norme DSP2 apporte des plus values considérables en matière de sécurité et de prévention contre le piratage de vos paiement à distance, en proposant une "authentification forte",
Suivant le niveau de sécurité, le client doit fournir deux des trois éléments d’identification parmi :
- un mot de passe ou code numérique (dit élément de connaissance)
- son portable ou sa ligne téléphonique (dit élément de possession)
- son empreinte digitale ou faciale ou le son de sa voix (dit élément d’inhérence)
Sur ce dernier point, j'ai un doute quant à la pertinence de la mesure.
Passons outre les cas particuliers à qui cela risque de poser problème : personnes ayant un handicap de la face ou de la voix (type dystonies) qui pourraient affecter leur accès le service suivant comment l'empreinte biométrique est analysée.
Prenons par exemple le cas Boursorama : il vous demande un selfie de face et de tourner la tête de droite à gauche quelques secondes.
Techniquement : cette prise de vue peut être réalisée par un tiers dans d'autres circonstances, et ensuite, techniquement si le terminal de captation de l'empreinte a une faille de sécurité, puisse être injectée en "déviant" le capteur caméra se faisant passer pour lui.
De même pour le micro et le son de la voix.
N'est-ce pas alors une pénibilité pour l'utilisateur qui s'avère futile en terme de sécurité ? Comparé à d'autres moyens tel le badge ou porte clef qui change aléatoirement de code toutes les minutes ?
Il est fort aisé de prendre empreinte biométrique d'un tiers. Mais cela est préféré car cela est "pratique" ( https://www.entrust.com/blog/2023/03/unreleased-findings-from-the-entrust-cybersecurity-institutes-future-of-identity-report )
(les empreintes biométriques vont aussi être utilisée pour vérifier l'âge légal pour des accès à des plateformes via les systèmes d'exploitation me semble-t-il)
En effet, la biométrie dans le cadre du DSP2 est réalisée dans un contexte particulier : il n'y a pas de tiers de confiance en matière de maitrise du matériel et de la prise d'empreinte, comparé par exemple à une vérification biométrique d'entrée dans un bâtiment en complément du garde de l'entrée, où le service de sécurité s'assure de ne pas laisser le dispositif de captation violable par un tiers.
