L'affaire Humpich : l'ingénieur qui a cassé la Carte Bleue

Depuis 1992, toutes les cartes bancaires françaises portent une puce, selon la norme B0'. Le terminal vérifie l'authenticité de la carte grâce à une signature RSA stockée dans la puce et calculée avec la clé secrète du GIE Cartes Bancaires. Cette clé fait 320 bits, une taille jugée suffisante en 1990, devenue fragile huit ans plus tard.

Serge Humpich, ingénieur en électronique installé en région parisienne, y consacre ses soirées à partir de 1997. Il analyse le dialogue entre la carte et le terminal, reconstitue la clé publique, puis, avec des logiciels de factorisation disponibles sur Internet, retrouve la clé secrète. Il peut alors fabriquer des cartes acceptées par n'importe quel terminal hors ligne, sans compte derrière.

Pour prouver sa découverte, il achète en juillet 1998 dix carnets de tickets de métro à un distributeur de la RATP avec une carte fabriquée par ses soins, et fait transmettre au GIE, par un avocat, une proposition de « transfert de savoir-faire ». Le GIE ne négocie pas : le 4 août 1998, il porte plainte pour accès frauduleux à un système de traitement automatisé de données et contrefaçon de cartes de paiement. Humpich est interpellé, son matériel saisi.

Le 25 février 2000, le tribunal correctionnel de Paris le condamne à dix mois de prison avec sursis et 12 000 francs d'amende. La cour d'appel confirme en 2001. Entre-temps, en mars 2000, la clé secrète est publiée anonymement sur Internet : les « Yescards », cartes qui répondent oui à tout, se multiplient, et le GIE doit accélérer la migration vers des clés plus longues et vers le standard EMV.

Ce que l'affaire a laissé :

• La première grande controverse française sur la divulgation responsable : Humpich se voit en lanceur d'alerte, la justice en maître chanteur.
• La démonstration que la carte à puce est un excellent coffre, à condition que ses clés suivent les progrès du calcul.
• Un précédent judiciaire sur la loi Godfrain, appliquée à un chercheur isolé plutôt qu'à un fraudeur.

Vingt-cinq ans plus tard, les programmes de bug bounty et les cadres légaux de signalement de vulnérabilités sont la réponse institutionnelle à la question posée par Humpich.

Illustration : Serge Humpich à Pas Sage en Seine, photo Ophelia Noor, CC BY-SA 2.0 (Wikimedia Commons).