Architecture de confiance pour les services de transactions sur terminaux mobiles 

Télécharger le fichier pdf d’un mémoire de fin d’études

La monnaie

Nous avons vu précédemment que la monnaie est une composante essentielle du paiement. Les différentes fonctions et formes de la monnaie sont maintenant précisées.
La monnaie a trois fonctions essentielles, outre le pouvoir d’éteindre une créance [DGKN97, Lan99]. Une monnaie est une unité de compte, elle permet d’évaluer une valeur et sert de référence dans un système monétaire. Cette fonction permet d’avoir une définition égalitaire et juste de la valeur des marchandises. La monnaie est aussi une réserve de valeur, elle peut ˆetre conservée entre le moment o`u elle a et´ acquise et le moment o`u elle va ˆetre utilisée pour un achat. Selon Keynes [Key36], l’importance de la monnaie découle essentiellement du fait qu’elle constitue un lien entre le présent et l’avenir. Une monnaie est un instrument d’échange, elle facilite et accélère les échanges. Elle permet d’acquérir des biens et peut ˆetre transférée. On peut également considérer que la monnaie a une quatrième fonction, celle d’instrument de politique économique qui permet a` l’Etat d’influencer l’activité économique, les objectifs de croissance et la stabilité des prix 8.
Aujourd’hui, la monnaie n’a pas de valeur intrinsèque alors qu’elle en avait une lorsque les pièces étaient fabriquées dans un métal précieux comme l’or ou l’argent. Sa valeur est donc basée sur son acceptabilit´ et la confiance que les différents acteurs économiques ont en elle. Actuellement, cette confiance se base sur celle de l’Etat émetteur de la monnaie. En effet, la gestion de la monnaie est une fonction régalienne visant a` assurer la souverainet´ économique du pays. L’Etat peut, entre autres, donner plus de poids à une monnaie particulière en lui conférant un cours légal. Dans ce cas, une loi interdit à toute personne de refuser de recevoir la monnaie qui bénéficie du cours légal en règlement d’une dette dans l’unité monétaire du pays. En France, le Code monétaire et financier fixe l’emploi des différentes formes de monnaie. De manière générale, seule la monnaie fiduciaire, définie ci-dessous, bénéficie du cours légal. Ces dispositions ne sont pas communes ailleurs dans le monde. Il existe par exemple des zones o`u la monnaie électronique a cours légal : c’est le cas de Hong Kong [BS03]. Il existe aussi d’autres zones o`u la monnaie fiduciaire n’a pas cours légal. Par exemple, en Ecosse et en Irlande du Nord, aucune monnaie n’a le statut de cours légal [Ban]. Ces exemples montrent que le cours légal n’est pas le seul elément permettant d’influencer l’acceptabilit´ de la monnaie.
Les différents types de monnaie peuvent ˆetre différenci´s en fonction de leur forme et de leur émetteur. En se basant sur le type de support, on peut distinguer trois sortes de monnaie. Il existe tout d’abord la monnaie fiduciaire qui correspond aux pièces et aux billets, puis la monnaie scripturale qui correspond à des soldes inscrits sur un compte bancaire. La dernière forme est la monnaie électronique. Il s’agit d’une valeur stockée sur un support électronique indépendant d’un compte bancaire. On parle de porte-monnaie électronique si la monnaie électronique est stockée localement sur un appareil électronique autonome. On parle de porte-monnaie virtuel si la monnaie électronique est stockée sur un serveur qu’un appareil électronique permet d’accéder.
La monnaie électronique peut prendre plusieurs formes. On peut la trouver sous la forme de jetons qui correspondent a` une certaine valeur. Dans ce cas, la somme d’argent détenue dans le porte-monnaie électronique correspond à la somme des valeurs des jetons. La monnaie électronique peut aussi ˆetre une valeur numérique stockée dans le porte-monnaie électronique. Cette forme ressemble au solde d’un compte. Enfin, il existe une représentation hybride de la monnaie électronique. La monnaie est stockée en tant que valeur numérique sur le support mais l’échange prend la forme d’un jeton. Généralement, le porte-monnaie électronique ou virtuel est ferm´. C’est a` dire que le marchand ne peut pas réutiliser directement la monnaie électronique qui lui est versée. Cette monnaie doit passer sur un compte bancaire et le paiement est enregistr´ a` ce moment. Ce n’est pas le cas du porte-monnaie ouvert. Cette forme n’est pas utilisée car elle pourrait générer des problèmes économiques liés a` la circulation de la masse monétaire [AS02, CG96].
Dans la suite de ce manuscrit, les termes comptes prépayés virtuels et comptes prépayés électroniques seront privilégiés a` ceux de porte-monnaie électronique et de porte-monnaie virtuel. En effet, le terme porte-monnaie est utilisé dans plusieurs offres commerciales très différentes et peut donc porter a` confusion. De plus, l’appellation compte prépay´ permet de mieux mettre en évidence le fait que la monnaie mani-pulée dans ce type de système correspond à des unités de valeurs achetées au préalable.
Certains auteurs comme Perdrix [Per94], Bounie et Soriano [BS03] reconnaissent a` la monnaie électronique le statut de monnaie alors que des auteurs comme Lanskoy [Lan99], Simon [Sim99] réfutent cette thèse et désignent la monnaie électronique comme étant simplement un nouveau moyen de paiement comme le chèque. Dans la suite de ce manuscrit nous allons nous baser sur [Per94, DGKN97, Ban10, AS02, Bas98, Eur98] qui considèrent que la monnaie électronique n’est assimilable ni a` la monnaie scripturale ni a` la monnaie fiduciaire et constitue donc une nouvelle forme de monnaie. Une définition précise de la monnaie électronique est donnée par la directive européenne 2000/46/CE [Uni00] et sa rempla¸cante la directive 2009/110/CE [Uni09]. En se basant sur ces deux textes, la monnaie électronique est définie comme étant :
1. Une valeur monétaire stockée sous forme électronique ;
2. représentant une créance sur l’émetteur ;
3. remise en échange de fonds d’un montant dont la valeur n’est pas inférieure a` la valeur monétaire émise ;
4. utilisée pour faire des opérations de paiement (versement, transfert ou retrait des fonds) ;
5. acceptée par une personne physique autre que l’émetteur de monnaie électro-nique.
En se basant sur l’émetteur, on distingue également trois sortes de monnaie. La première correspond à la monnaie centrale. Il s’agit de la monnaie émise par la banque centrale d’un pays. Une partie de la monnaie centrale est en circulation sous la forme de pièces et de billets. L’autre partie correspond aux comptes que les différentes banques privées ont auprès des banques centrales. La seconde est la monnaie bancaire. C’est la monnaie émise par les banques commerciales. Finalement, la monnaie privative est celle émise par des commer¸cants ou prestataires de services et plus généralement par un organisme n’ayant pas un statut bancaire. Cette monnaie n’est utilisable que dans un réseau restreint. Il s’agit par exemple de la monnaie uti-lisée dans des réseaux virtuels de jeux en ligne comme Facebook, World Of Warcraft ou Diablo 3, des Systèmes d’Echange Libre, ou des réseaux proposant des services prépayés. Le statut, la valeur de ce type de monnaie dépend des contrats commerciaux et accords passés entre les membres du réseau et le fournisseur de service. Elle dépend également de la relation entre le fournisseur de service, le régulateur et la banque centrale des pays concernés.
Le schéma en figure 1.3, montre comment se recoupent ces différentes formes de monnaies. Les pièces et les billets sont uniquement émis par la banque centrale. La monnaie fiduciaire est donc incluse dans la monnaie centrale. Une partie de la monnaie centrale se trouve sous la forme de comptes de banques commerciales détenus a` la banque centrale. La monnaie centrale n’est donc pas restreinte a` la monnaie fiduciaire et s’élargit à la monnaie scripturale. La monnaie bancaire peut prendre la forme de dépˆot a` vue (monnaie scripturale) ou de monnaie électronique (Monéo par exemple). Il peut également exister de la monnaie électronique privative, il s’agit par exemple de la monnaie émise dans des services tels que M-Pesa au Kenya. Notons que la monnaie électronique bancaire est parfois assimilée à de la monnaie scripturale bien qu’il y ait des différences entre ces deux formes de monnaie [Eur98].
Nous avons vu ci-dessus qu’il existe différents acteurs pouvant émettre différentes sortes de monnaie. Dans la partie suivante, nous allons approfondir cette étude en nous intéressant aux différentes institutions pouvant créer de la monnaie.

Les institutions

Les institutions financières monétaires sont des institutions qui peuvent créer de la monnaie. Les institutions financières non monétaires quant a` elles n’ont pas cette capacité. Dans la zone Euro, les institutions financières monétaires comprennent la banque centrale européenne, les banques centrales nationales, les établissements de crédit et les autres institutions dont l’activité est de recevoir des dépˆots de la part d’agents non financiers. Dans cette partie, nous allons nous intéresser plus particulièrement aux principaux acteurs qui peuvent intervenir dans le paiement mobile. Il s’agit des banques centrales, des établissements de crédit, des établissements de monnaie électronique. Nous nous intéresserons également au concept de non-banque.

La banque centrale

La banque centrale est l’institution qui décide de la politique monétaire d’un pays. Les différentes missions d’une banque centrale peuvent changer selon les pays mais elles consistent généralement a` :
– Emettre la monnaie fiduciaire ;
– Veiller a` la stabilité de la monnaie ;
– Veiller a` la stabilité du système de paiement ;
– Contrˆoler l’activité des banques ;
– Conseiller les pouvoirs publics sur le système de paiement national et sa sécurit´.

Les banques ou établissements de crédit

L’activité des banques est définie par la loi du 24 janvier 1984 [Répb] en France, et par la directive 2006/48/CE [Eur06]. Selon ces règles, les activités qui constituent le cœur de métier d’une banque consistent à :
– Recevoir des fonds du public ;
– Accorder des crédits ;
– Gérer des moyens de paiement.
Les banques sont considérées comme des instituts financiers monétaires car elles créent de la monnaie scripturale en accordant des crédits. Ces règles spécifient aussi que toute banque doit avoir un agrément pour pouvoir exercer. En France, celui-ci est délivr´ par le Comité des Etablissements de Crédit et des Entreprises d’Investissement. Les banques sont soumises à des dispositions prudentielles spécifiques. Celles-ci fixent les obligations que les banques doivent respecter pour se prémunir face à certains risques. Le titre 5 de la directive 2006/48/CE [Eur06] fixe les principes de la surveillance prudentielle des banques. En France, ces dispositions sont définies dans la section 7 du code monétaire et financier. Les accords de Bˆale réglementent l’activité bancaire et en particulier le risque de crédit défini en section 1.3.1.

Les non-banques

La notion de non-banque n’existe pas en France car la loi ne permet pas l’exercice d’activités bancaires sans agrément [DGKN97]. Il existe cependant des pays qui permettent a` des organismes non-bancaires qui n’ont pas de licence ni d’agrément d’exercer une activité bancaire. Une non-banque [CP02] est un organisme qui fournit des services bancaires sans ˆetre soumis aux mˆemes dispositions prudentielles que les banques. Généralement, leur activité est restreinte. Typiquement, elles ne font pas partie du système de paiement et ne bénéficient donc pas de l’interbancarit´. Souvent, elles n’ont pas non plus le droit d’accepter de dépˆots du public.

Les établissements de monnaie électronique

Selon la directive européenne 2009/110/CE [Uni09], la monnaie électronique peut ˆetre émise par des entreprises n’ayant pas le statut d’établissement de crédit. Ces en-treprises doivent cependant avoir un statut d’établissement de monnaie électronique. Elles ne peuvent pas recevoir de fonds du public ni proposer de crédit basé sur des fonds re¸cus du public. Elles peuvent simplement distribuer la monnaie électronique. Les fonds re¸cus dans ce cadre ne sont pas considérés comme des dépˆots re¸cus du public car ils doivent ˆetre echangés sans délai contre de la monnaie électronique. Les fonds re¸cus doivent ˆetre protégés par les établissements de monnaie électroniques selon les dispositions de l’article 9 de la directive 2007/64/CE [Uni07].
Les conditions encadrant l’émission de monnaie électronique dépendent de la réglementation de chaque pays. En France, elles sont plus strictes que dans les autres pays européens puisque seuls les établissements de crédit peuvent émettre de la monnaie électronique [Fra02]. Ailleurs dans le monde, certains pays autorisent des non-banques à émettre de la monnaie électronique sans statut particulier a` part des accords avec les banques centrales. Cela soulève cependant de nombreuses questions, notamment sur la protection des fonds des utilisateurs et sur la menace de concur-rence avec l’activité des banques centrales [Eur98, Mes01].
Après avoir examin´ le paiement en général, nous définissons le paiement mobile.

Le paiement mobile

Le commerce électronique a démarr´ dans les années 1980 avec le minitel. Ces transactions électroniques étaient les prémisses des services proposés aujourd’hui sur internet. Le paiement mobile s’inscrit dans la lignée des évolutions qui ont marqué la dématérialisation de la monnaie et la modernisation des moyens de paiement. Dahlberg et coll. [DMOZ08] et Karnouskos [Kar04] définissent le paiement mobile comme étant des transactions de paiement électronique effectuées a` partir d’un terminal mobile, par exemple un téléphone mobile, un organiseur ou Personal Di-gital Assistant (PDA), une tablette ou un téléphone intelligent smartphone. Selon Karnouskos [Kar04], le paiement mobile concerne plus spécifiquement les appareils n’ayant pas uniquement accès au réseau sans fil mais ayant aussi accès au réseau téléphonique. De plus, les produits d’accès qui utilisent le téléphone pour accéder a` une procédure d’e-commerce ou paiement par internet existante ne sont pas inclus dans notre définition du paiement mobile.
Pour récapituler, nous considérons que le paiement mobile correspond a` tout type de service permettant d’initier et de confirmer une transaction pour réaliser un paie-ment indépendamment d’une procédure d’e-commerce. Les transactions considérées ici correspondent aux paiements marchands, les transferts d’argent entre particuliers et les opérations de gestion de compte comme le retrait et le dépˆot.
Selon Karnouskos [Kar04], les différents acteurs impliqués dans le paiement mobile sont les clients, les marchands, les opérateurs téléphoniques, les constructeurs de téléphone, le secteur financier (banque centrale, banques, fournisseurs de carte de crédit,. . . ), le gouvernement en tant que législateur, les fournisseurs de service et les fabricants de logiciel.
Comme le paiement, le paiement mobile peut mettre en œuvre des processus de paiement prépayé, post-payé ou immédiat. Dans le cas des paiement prépayés, nous avons vu que deux types de comptes existent : les comptes prépayés électroniques et les comptes prépayés virtuels. Dans le premier cas, les valeurs sont stockées soit dans le terminal mobile ou la carte SIM. Dans le second cas, les valeurs echangées sont stockées dans un serveur distant qui est accessible via le terminal mobile. Cette dernière catégorie nécessite de pouvoir contacter le serveur distant au moment du paiement.
Du point de vue des technologies utilisées pour transporter les informations des transactions électroniques, les plus courantes sont :
– les SMS (Short Message Service). Ils peuvent ˆetre utilisés pour faire des requˆetes envers un service, payer via numéro surtaxé ou servir de moyen d’authentifica-tion ;
– l’USSD (Unstructured Supplementary Services Delivery). Il s’agit d’une norme permettant notamment de communiquer en temps réel avec un fournisseur de service ;
– le NFC (Near Field Communication). Il s’agit d’une technologie de communica-tion sans fil de courte distance. Elle ne peut ˆetre utilisée que dans le cadre de paiement de proximité pour l’échange de données d’authentification ou d’ordre de paiement ;
– les réseaux IP (Internet Protocol). Il s’agit des protocoles de communication sur internet.
En considérant le marché cible et le rˆole de certains acteurs, il existe plusieurs modèles de paiement mobile. Le paiement mobile s’adresse a` la fois a` des popu-lations bancarisées et à des populations non bancarisées. Dans le premier modèle, dit additif, le terminal mobile fournit une forme de paiement supplémentaire en marge de son compte bancaire [LPP08, Por]. Dans ce cas, il soit soit d’une nouvelle manière d’accéder a` son service de banque à distance ou d’utiliser sa carte bancaire soit de porte-monnaies électroniques permettant de faciliter certains usages comme les micro-paiements. Dans le deuxième modèle, dit transformationnel, le service de paiement donnent accès a` des services dématérialisés de type bancaire a` des personnes qui n’ont pas accès a` des comptes bancaires [LPP08, Por].
Le rˆole plus ou moins dominant de la banque dans la solution de paiement mobile peut aussi ˆetre considér´ [Kar04, LIS06]. Selon cette approche, deux modèles existent : le modèle bancaire, bank-centric, et le modèle opérateur (aussi désign´ par Mobile Network Operator, MNO), MNO-centric. Dans le modèle bank-centric, la banque est responsable du moyen de paiement fourni alors que l’opérateur fournit uniquement le canal qui achemine les informations relatives aux transactions. Dans le modèle MNO-centric, l’opérateur gère lui-mˆeme le moyen de paiement. Le modèle MNO-centric peut ˆetre généralis´ en considérant que des non-banques qui ne sont pas forcément des opérateurs téléphoniques peuvent fournir le service de paiement. Il existe aussi des modèles composites qui accordent plus ou moins d’importance aux banques ou aux non-banques.

Discussion

Dans cette section, nous avons décrit et défini différentes notions liées a` l’écosys-tème du paiement mobile. L’opération de paiement, la monnaie, les institutions sont détaillées. Le paiement mobile et ses différentes caractéristiques ont également eté abordés.
Dans la prochaine partie, nous utilisons les notions concernant l’écosystème du paiement mobile, définies précédemment, pour spécifier les services de paiement mobile sur lesquels se base cette thèse. Dans la suite du manuscrit, nous désignons ce type de service spécifique par l’expression systèmes ou services de transaction sur mobile.

Les services de transaction sur mobile actuels à la base de ces travaux

Cette étude concerne les services de paiement sur mobile basés sur un modèle de paiement trois coins et un compte prépay´ électronique virtuel. Les comptes sont donc hébergés et gérés sur une plateforme distante qui appartient a` un opérateur de téléphonie mobile. Une application dans le terminale mobile permet d’accéder a` ce compte et de réaliser diddérentes opérations.
De plus, la monnaie est exprimée sous la forme d’une valeur numérique. Les échanges sont donc des instructions permettant de modifier le solde d’un compte. La monnaie en circulation dans le système est une monnaie électronique privative émise par l’opérateur sous le contrˆole d’une banque partenaire et de la banque centrale comme illustré dans la figure 1.4. Nous considérons uniquement le cas o`u cette banque ne joue pas un rˆole prépondéral dans la mise en oeuvre et la gestion du système de transaction sur mobile. Nous sommes donc dans un modèle MNO-centric. FIGURE 1.4 – Relations entre les acteurs du système de transfert sur mobile, adapté de [JTT10] Tout type de paiement peut ˆetre réalis´ dans ce système, qu’il s’agisse de paiement distant ou de proximité, de macro- ou micro-paiement. Dans le cadre de la thèse, nous considérons aussi bien les transactions entre particuliers et entreprise-particuliers.
Dans cette dernière catégorie, nous retenons surtout les achats.
A notre connaissance, dans les services de transaction sur mobile actuels, les mobiles des utilisateurs et la plateforme distante communiquent aujourd’hui a` l’aide des technologies USSD et SMS. Cependant, dans cette thèse, nous nous pla¸cons dans le cadre des réseaux 4G de type tout-IP o`u le canal transportant l’USSD et les SMS n’existe plus. Le marché cible, bancarisé ou non-bancarisé a peu d’impact sur les travaux de cette thèse.

Organisation et architecture des systèmes actuels

Les services de transaction sur mobiles comprennent plusieurs acteurs dont les relations sont illustrées figure 1.4. La banque centrale et la banque commerciale per-mettent et contrˆolent l’émission de monnaie électronique par l’opérateur téléphonique qui possède le système. En particulier, l’opérateur doit garantir qu’il n’y aura pas de création ou de destruction de monnaie au sein du système. La monnaie électronique est ensuite distribuée a` travers un réseau de grossistes a` des détaillants ou a` des fournisseurs de biens et de services. Ceux-ci la distribuent à leur tour aux porteurs qui réalisent des transferts ou des paiements.
La plupart des acteurs représentés ci-dessus, les porteurs, les fournisseurs de biens ou de services et certains détaillants, accèdent au service grˆace a` une application sur leur téléphone. Celle-ci communique avec le serveur distant par USSD et SMS en passant par le réseau opérateur. Cette architecture globale est représentée figure 1.5. Cependant, comme mentionn´ précédemment, dans le cadre de cette thèse, nous nous pla¸cons dans un contexte o`u les communications entre le terminal mobile et la plateforme sont réalisés à l’aide de réseaux tout-IP. Certains acteurs autres que le porteur peuvent accéder au service grˆace a` un ordinateur mais ce cas n’est pas représent´ et n’est pas pris en compte dans la thèse.
La plateforme de paiement mobile réunit plusieurs fonctionnalités illustrées figure 1.6. L’utilisateur envoie des requˆetes d’opérations au système utilisateur. Celui-ci authentifie l’utilisateur, détermine son profil, ses droits et traite ensuite les différentes requˆetes d’opérations. Les demandes de transactions sont ainsi envoyées au système de gestion de compte tandis que d’autres opérations telles que la modification du mot de passe sont traitées au niveau de l’interface. Le système de gestion des comptes gère les autorisations de transactions ainsi que le débit et le crédit des différents comptes.

Table des matières

Introduction 
1 Le paiement mobile et la gestion de la fraude 
1.1 L’´ecosyst`eme du paiement mobile
1.1.1 L’op´eration de paiement
1.1.2 La monnaie
1.1.3 Les institutions
1.1.4 Le paiement mobile
1.1.5 Discussion
1.2 Les services de transaction sur mobile actuels `a la base de ces travaux
1.2.1 Organisation et architecture des syst`emes actuels
1.2.2 La s´ecurit´e des services de transaction sur mobiles actuels
1.2.3 Discussion
1.3 La fraude et la gestion de la fraude
1.3.1 La fraude
1.3.2 La gestion de la fraude
1.4 Discussion
2 Etat de l’art sur la s´ecurisation des syst`emes de transactions sur terminaux mobiles 
2.1 Les risques de fraudes dans les services de transaction sur mobile
2.2 Architectures de s´ecurit´e de paiement mobile
2.2.1 S´ecurit´e des terminaux mobiles
2.2.2 Interaction des terminaux avec les plateformes de paiement
2.2.3 Discussion sur les architectures de s´ecurit´e
2.3 Algorithmes de classification
2.3.1 Positionnement du probl`eme de d´etection de fraudes
2.3.2 Classification `a partir d’un mod`ele pr´ed´etermin´e par un expert
2.3.3 Classification bas´ee sur l’apprentissage
2.3.4 Mod`ele d´efini par l’´etude d’instances
2.3.5 Discussion sur les algorithmes de classification
2.4 Discussion
3 Architecture de confiance pour les services de transactions sur terminaux mobiles 
3.1 Pr´esentation des protocoles
3.1.1 Architecture, hypoth`eses et notations
3.1.2 Canal s´ecuris´e
3.1.3 Transfert entre particuliers
3.1.4 Paiement de proximit´e en mode tout-connect´e
3.1.5 Paiement de proximit´e en mode semi-connect´e
3.1.6 Transactions en mode tout-d´econnect´e
3.2 Validation
3.2.1 V´erification formelle
3.2.2 Etude des performances
3.3 Discussion
4 D´etection de fraudes pour les services de transactions sur terminaux mobiles 
4.1 G´en´eration de donn´ees synth´etiques
4.1.1 ´Etude de l’existant
4.1.2 Mod`ele et impl´ementation
4.1.3 Validation pr´eliminaire
4.1.4 Configuration et g´en´eration de jeux de donn´ees synth´etiques
4.1.5 Discussion concernant la g´en´eration de donn´ees artificielles
4.2 Adaptation d’algorithmes de classification
4.2.1 M´ethodologie
4.2.2 R´esultats
4.2.3 Discussion sur l’adaptation des algorithmes de classification
4.3 Discussion
Conclusions et perspectives 
Publications de l’auteur
Bibliographie

Télécharger le rapport complet