• # TOTP

    Posté par  . Évalué à 2. DerniĂšre modification le 22 juin 2021 Ă  18:02.

    Dans le wiki ils parlent de TOTP comme solution alternative interropĂ©rable. Ça me semble aussi la solution la plus adaptĂ© pour du MFA, mais le problĂšme c’est que le paragraphe 2 de l’article 97 de la DSP 2 dit ceci (emphase de moi) :

    1. En ce qui concerne l’initiation des opĂ©rations de paiement Ă©lectronique visĂ©e au paragraphe 1, point b), les États membres veillent Ă  ce que, pour les opĂ©rations de paiement Ă©lectronique Ă  distance, les prestataires de services de paiement appliquent l’authentification forte du client comprenant des Ă©lĂ©ments qui Ă©tablissent un lien dynamique entre l’opĂ©ration, le montant et le bĂ©nĂ©ficiaire donnĂ©s.

    Et je crois que c’est interprĂ©tĂ© comme « il faut afficher le montant de la transaction avec le code MFA », ce qui met de cĂŽtĂ© toutes les solutions de MFA existante.

    AprÚs, je pense que pour avoir une solution « DSP 2 ready » et interopérable, ça serait assez simple (comme ça a chaud) :

    1. la page de payement affiche un QR Code ;
    2. l’utilisateur scan le QR code avec son application TOTP libre « DSP 2 ready » ;
    3. l’application rĂ©cupĂšre une URL qui renvoie un JSON avec les informations de payement (un truc standardisĂ© en amont) ;
    4. l’application affiche le TOTP et les informations de payement ;
    5. l’utilisateur rentre le TOTP dans la page de payement.

    Passer par une Ă©tape intermĂ©diaire plutĂŽt que d’envoyer des infos de payement dans le QR code permet d’éviter un Ă©ventuel MITM (on peut pas te donner un QR code bidon).

    Ça nĂ©cessiterait trĂšs peu de modifications dans les applications existantes et (point le plus important) les banques n’auraient pas grand chose Ă  faire (simplement fournir une API pour rĂ©cupĂ©rer les informations).

    Le problĂšme c’est que ça nĂ©cessiterait une dĂ©cision politique.

    • [^] # Re: TOTP

      Posté par  . Évalué à 2.

      Ah aussi, si quelqu’un peut modifier « Hello banque » (qui apparait 2 fois) en « Hello bank » (voir « Hello bank! » si on veut respecter le nom commercial), en tant qu’anonyme j’ai pas les droit pour Ă©diter.

    • [^] # Re: TOTP

      Posté par  (site web personnel) . Évalué à 4.

      1.la page de payement affiche un QR Code ;

      et moi je fais comment avec mon dumb phone ? C'est une vraie question. Je n'ai pas et n'ai pas envie d'avoir un truc qui fait autre chose que téléphoner et envoyer/recevoir des SMS.

      « Il vaut mieux mobiliser son intelligence sur des conneries que mobiliser sa connerie sur des choses intelligentes. »

      • [^] # Re: TOTP

        Posté par  . Évalué à 1.

        Une alternative bureau est peut-ĂȘtre envisageable ?

      • [^] # Re: TOTP

        Posté par  . Évalué à 2. DerniĂšre modification le 22 juin 2021 Ă  21:10.

        Oui, mais lĂ  on parle d’utiliser TOTP pour faire ça. Dans le cas oĂč tu n’as pas (ou ne veut pas) de smartphons, tu n’as probablement pas non plus d’application de TOTP.

        Ce que je veux dire c’est que si tu n’as pas de smartphone, toute la seconde partie de mon message (la description du fonctionnement d’une application de TOTP « DSP 2 ready ») ne te concerne pas.

        • [^] # Re: TOTP

          Posté par  (site web personnel) . Évalué à 1.

          Merci pour cette précision.

          « Il vaut mieux mobiliser son intelligence sur des conneries que mobiliser sa connerie sur des choses intelligentes. »

  • # Conclusion provisoire

    Posté par  . Évalué à 2.

    (Initialement posté ici par erreur)

    Conclusion provisoire – 22/06/2021
    Si tous les établissements bancaires respectent leur engagement d'alternative et rendent rapidement utilisable le SMS renforcé, alors l'obligation d'utiliser une application mobile disparait.
    Et le problĂšme n'est plus (ce qui n'empĂȘche pas qu'il y en ait d'autres).

    Reste que ça repose sur un SMS donc une ligne mobile, pour une consultation de comptes ou un achat qui ne nécessite qu'internet. (Avec alternative potentielle à base de dispositif physique unique type lecteur de carte CB générateur de code.)

    La solution mise en place par PayPal décrite dans mon commentaire ici me paraitrait utile comme troisiÚme possibilité.

    A noter qu'une appli OTP ça peut tourner sur un ordi, une tablette, un vieux smartphone récupéré qu'on n'utilise qu'en WIFI, donc ça n'impose pas un smartphone + un abonnement.

Suivre le flux des commentaires

Note : les commentaires appartiennent Ă  celles et ceux qui les ont postĂ©s. Nous n’en sommes pas responsables.