Auchan expérimente le paiement biométrique

[YannDutch]

Le groupe de grande distribution expérimente depuis quelques jours un système de paiement basé sur la biométrie.

La phase de test durera six mois (jusqu'en mars 2013) dans les magasins de Villeneuve d'Ascq et d'Angoulême (Charente) auprès de 200 petits et grands commerçants partenaires. Elle concernera environ 1 500 clients volontaires.

Le nouveau mode de paiement utilise la technologie Natural Security et consiste à pouvoir régler ses achats à l'aide de deux méthodes d'authentification : l'empreinte digitale ou le réseau veineux du doigt du payeur.

Auchan expérimente le paiement avec ses empreintes digitales

[flct]

Bienvenue à Gataca ...

[Damien Clauzel]

Le groupe de grande distribution expérimente depuis quelques jours un système de paiement basé sur la biométrie.

Yep. J'ai suivi de loin le développement du système, c'est une approche super sympa.
Par contre, l'industrie est loin d'avoir un accord — même de principe — sur les standards à utiliser. Il va falloir attendre encore une paire d'années pour que ça se décante, mais on devrait arriver à une unification des outils qui évitera d'avoir à refaire les enregistrements pour chaque entreprise.

[Kyle Butler]

Approche super sympa ? Je trouve ça plutôt flippant en ce qui me concerne. Ce fichage systématique, et volontaire de surcroit, m'inquiète...

[YannDutch]

La section Nord-Pas de Calais désire créer un communiqué de presse sur le sujet.

Nous avons ouvert un pad pour la rédaction : https://npdc.pad.partipirate.org/6

Votre aide est la bienvenue!!

[Damien Clauzel]

Approche super sympa ? Je trouve ça plutôt flippant en ce qui me concerne. Ce fichage systématique, et volontaire de surcroit, m'inquiète...

Ça tombe bien, ici ce n'est pas un fichage des empreintes digitales (contrairement au Ministère de l'intérieur pour le carte d'identité :)

Il y a *beaucoup* de technologies et d'approches différentes dans la reconnaissance — et la validation — biométrique. La CNIL a d'ailleurs rendu des avis très pertinents.

Sérieusement, avant de publier un communiqué, regarder en profondeur de quoi il est question : ça ferait mal de réagir à côté de la plaque.

[YannDutch]

Sérieusement, avant de publier un communiqué, regarder en profondeur de quoi il est question : ça ferait mal de réagir à côté de la plaque.

Merci de vous en inquiéter, nous avons fait une petite enquête comme vous auriez pu le remarquer sur le pad mis en lien.

Il ne s'agit effectivement pas uniquement des empreintes digitales mais également du réseaux veineux. De plus les données ne sont pas centralisées (pour le moment) mais cela reste quand même du fichage.

Même si nous devons être réactif, nous prenons le temps nécessaire afin d'étudier le sujet et de ne pas "répondre à côté de la plaque". D'ailleurs si vous avez des remarques, idées... n'hésitez pas à nous en faire part et à participer de manière constructive.

[Damien Clauzel]

Il ne s'agit effectivement pas uniquement des empreintes digitales mais également du réseaux veineux. De plus les données ne sont pas centralisées (pour le moment) mais cela reste quand même du fichage.

Hummmm, juste pour être sûr : tu nous expliques — avec tes propres mots — ce qui est réellement enregistré, et où ? Et pourquoi cela pose problème ?

Car vraiment, le système mis en place ne pose aucun soucis : les personnes ne sont pas « fichées ».

[flct]

Attention, grande nouvelle : Je pense que Damien n'a pas tord dans le sens où le système n'est pas (pour le moment) un fichage généralisé. Toutefois, cela soulève beaucoup de questions que j'ai tenté de résumer dans le pad. Yanndutch a donc raison de se pencher sur le problème.
Cette question a deux éléments bien distinct :
- la biométrie en tant que système de reconnaissance
- l'utilisation dans un supermarché.

Autant quand il est question de sécuriser les accès à un espace physique, la biométrie a du sens, autant ce cadre ne me parait pas vraiment pertinent. J'aurai revu cette position dans le cadre de la sécurisation des paiements en ligne. Tout à la fin du pad, j'ai lancé des pistes. Il y a moyen de sortir un texte constructif si tout le monde apporte un point de vue constructif.

[Solarus]

L'utilisation de la biométrie comme reconnaissance personnelle, semble pratique et simple, pourtant elle pose beaucoup de soucis.
A plus forte raison si elle sert à gérer son argent.

Le problème principal de la biométrie est qu'il transforme un humain, en suite de nombres, c'est à dire un code barre.
Bon nombre de paramètres physiologiques et biométriques permettent d'identifier une personne entre 7 milliards.
Il y a les empreintes digitales, les veines de la main, l'iris des yeux et le visage.

Et c'est cette dernière technique qui me pose le plus de problème. Le visage de par ses traits et sa forme peut être utilisé comme facteur biométrique de reconnaissance. Ainsi grâce aux réseaux de vidéosurveillance il est déjà possible de suivre un individu dans une grande ville, tracer ses moindres déplacements, faits et gestes.
Avec l'interdiction de se couvrir le visage dans l'espace public, il devient impossible d'avoir une vie privée dans l'espace public.

Toutes ses mesures sont déjà en place dans plusieurs pays comme le Royaume-Uni, officiellement pour lutter contre le terrorisme. Mais ce système pouvant tracer n'importe quelle personne, le mythe du code barre dans le cou n'en est plus un. Votre visage est devenu un code barre, la réalité a dépassé la fiction.

----

Pour en revenir au commerce, il y a déjà le problème de la rétention de données par les supermarchés.
En effet les supermarchés disposent d'énormément d'infos sur leurs clients, notamment grâce aux cartes de fidélité.
Le stockage de ces informations est mal connu et leur finalité très obscure. Les fabricants de carte bleue se sont lancés dans le business, en voulant revendre les données des achats par CB. Un système centralisé et indépendant des enseignes agissant en toute violation du secret bancaire.

Actuellement pour un paiement électronique, la plupart d'entre vous utilisent une carte bleue, sinon vous payez en liquide. On peut vous voler votre liquide ou votre carte bleue. Mais comment vous volez vos empreintes digitales ?
Ce qui pourrait apparaitre comme un argument de sécurité de ce système, laisse en fait présager d'horribles mutilations. (file moi ton doigt et ton code)

Bref, c'est abomination que je veux combattre absolument, je préfère risquer de perdre quelques centaines d'euros plutôt que mes doigts.

[Konwhald]

Pas mieux.

Et parce que "Pouce vert ! Gniii !" ca ne veut pas dire grand chose
Je suis totalement d'accord avec Solarus, qui a très bien compris le fond du problême

[flct]

Je trouve que tout le monde est d'accord. Il y a d'un coté la technologie qui est efficace et de l'autre son implantation qui pour divers motifs ouvrent largement la porte à l'abus.
Alors, je ne sais pas quel est l'approche de Damien sur cette question. Est-ce bien d'un point de vue technique ? Est-ce bien dans ce type d'utilisation ?

Solarus pose des problèmes cruciaux. Les systèmes de reconnaissance biométriques tendent à se généraliser dramatiquement. Bien que certains puissent trouver une justification (biométrie pour sécuriser un espace physique, un datacenter par exemple), la danger est la multiplication, la banalisation qui pose des problèmes de contrôle dans le temps (aujourd'hui c'est ce cadre, demain ? )et l'utilisation croisée des systèmes. Je pense donc qu'outre l'aspect technique, nous approchons une question d'éthique. Autre point axe de progression : la solution au problème. Le problème est-il bien posé ? Par exemple pour rebondir d'un autre sujet, nos besoins en matières fissiles. L'électricité d'origine nucléaire nécessite certains accords et une politique de défense adaptée. Pourtant, si la part de nucléaire tendait à se réduire vers zéro, nous n'aurions plus ce problème.

[Damien Clauzel]

Pour le moment, je ne vois personne répondre à mes questions :)

Vous nous expliquez — simplement avec vos propres mots — ce qui est *concrètement* enregistré, et où ? Et ce que l'on peut faire de « mal » avec ces informations ? Je ne parle pas ici de quelque chose de général, mais bien du système mis en place ici par Auchan.

Je vous assure quand quand vous allez réaliser comment fonctionne réellement le système utilisé dans cette histoire, vous allez avoir des surprises : ça ne marche pas comme vous pourriez le croire :) Je suis bien placé pour le savoir : j'ai suivi le développement d'outils qui sont derrière ça :P

[flct]

euh vous êtes allé lire le pad ??? Et puis c'est quoi ce ton condescendant "simplement avec vos propres mots", vous vous prenez pour qui ? Il n'y a pas qu'une bande d'abruti ici qui attendent la bave aux lèvres la science infuse d'un "chercheur". Si vous n'êtes pas content de ce qui se discute ici, personne ne vous oblige à y déchargez vos ordures (et je dirai pour ma part que dans ce mode "je fais la leçon aux chères têtes blondes" vous n'êtes franchement pas le bienvenue)

Des chercheurs qui cherchent, on en trouve, des chercheurs qui trouvent on en cherche

PS/ Merci de me mettre un avertissement, les accus "diplomatie" et "prendre sur soi" ne sont pas encore rechargés

[YannDutch]

Sur le plan technique, cette méthode nécessite de posséder une carte bancaire ainsi qu'un étui spécial qui assure la transmission sans fil des données vers le terminal de paiement. Le client ayant au préalable saisi l'empreinte de son réseau veineux en agence bancaire, pose son doigt sur le lecteur biométrique au moment du règlement de ses achats. Le lecteur vérifie l'empreinte et envoie un signal vers la carte de l'utilisateur pour la comparer à celle enregistrée à la banque. Si les deux empreintes sont identiques, un signal utilisant la technique sans contact est envoyé au terminal qui valide la transaction.

Les données collectées (Empreintes digitales/réseaux veineux du pouce + information bancaire) ne sont pas centralisées (pour le moment) mais stockées et cryptées sur la carte du consommateur, visiblement la banque ne possède pas de copie du fichier mais les données doivent bien être stockées ailleurs pour que la reconnaissance puisse avoir lieu (pour qu'il y ai comparaison il doit bien y avoir deux sources?). On peut se poser la question sur un éventuel fichage à venir (ou centralisation des données si c'est le mot fichage qui vous fait frémir), sur le croisement des données avec celles déjà obtenues grâce aux cartes de fidélité.

De plus, nous ne connaissons pas le degré de sécurité du cryptage utilisé. Le risque de capter les ondes NFC pour récupérer les données. Trafic du boîtier/scanner biométrique.

Flecointre a également partagé ses idées sur le pad, je le cite :

- aspect confidentialité, les usagers doivent avoir des engagements très fermes sur les données collectées et utilisées tant sur d'un point de vue protection qu'utilisation. Dans ce système, un magistrat peut-il demander à avoir accès aux données empreintes ? Quelles sont les garanties de confidentialités ? quelles normes ?


L'objectif de ce communiqué n'est pas de flinguer tout ce qui comporte la notion "biométrique" mais de s'assurer que les droits des citoyens, leur liberté et leur sécurité ne soient pas sacrifiées sur l'autel du "tout sécuritaire" ou du gain de temps à une caisse.