SERGE HUMPICH « AU COEUR DES FAILLES DU SYTÈME »
Enregistrement : Archives de La Spirale (1996-2008)
Mise en ligne : Archives de La Spirale (1996-2008)
Serge Humpich a voulu démontrer les failles de la carte à puce bancaire. La justice l'a condamné en l'an 2000 à 10 mois de prison avec sursis, 12 000 francs d'amende, un franc symbolique à titre de dommages et intérêts, ainsi qu'à la confiscation de l'ensemble de ses notes, disquettes et outils de travail.
Un jugement qui a soulevé plusieurs questions. L'infraction est-elle établie lorsque le but poursuivi n'est pas frauduleux ? Le Groupement des Cartes Bancaires a-t-il déposé plainte uniquement pour accéder, via la procédure, au savoir-faire de l'inventeur sans avoir à le payer ? Et est-ce que les prochains petits génies en herbe ne seront pas tentés d'exploiter leur découverte pour leur propre compte ou en collaboration avec certaines mafias, plutôt que de négocier avec le Groupement des Cartes Bancaires ?
Propos recueillis par Laurent Courau.
Un jugement qui a soulevé plusieurs questions. L'infraction est-elle établie lorsque le but poursuivi n'est pas frauduleux ? Le Groupement des Cartes Bancaires a-t-il déposé plainte uniquement pour accéder, via la procédure, au savoir-faire de l'inventeur sans avoir à le payer ? Et est-ce que les prochains petits génies en herbe ne seront pas tentés d'exploiter leur découverte pour leur propre compte ou en collaboration avec certaines mafias, plutôt que de négocier avec le Groupement des Cartes Bancaires ?
Propos recueillis par Laurent Courau.
On ne vous connaissait pas avant que cette affaire explose. Quelle était votre vie avant vos démêlées avec le Groupement des Cartes Bancaires ?
J'étais ingénieur informaticien, je sortais de l'INSA de Lyon ou j'avais fait le département Génie Electrique. Rien de bien particulier en fait... je travaillais pour des banques, pour les marchés financiers.
Etiez-vous en contact avec l'Underground Informatique ? Le monde des hackers, des crackers et autres bidouilleurs aux limites de la légalité...
Non je n'avais aucun contact. Les quelques rares messages échangés me semblaient stériles : j'avais en face de moi des jeunes plus intéressés par le fait de se donner une identité de hacker que de vouloir faire de la belle technique tout simplement.
Qu'est-ce qui vous a amené au départ à vous intéresser aux failles du système de cryptage des cartes bancaires ?
Mon observation de l'industrie en général, et de l'apparence extérieure des terminaux de paiement m'a fait penser que la chose était possible. L'enjeu si je trouvais, ainsi que le plaisir de refaire de l'électronique chez moi, ont aussi compté.
Pouvez-vous expliquer aux béotiens que nous sommes les grandes lignes de votre méthode pour pirater les cartes bancaires ?
C'est comprendre comment les vraies cartes sont conçues. On peut alors en fabriquer soi-même, qui pourront tromper les terminaux de paiement qui autoriseront alors des achats.
Vous êtes arrivé seul à casser les algorithmes de cryptage des cartes bancaires. On imagine donc que d'autres peuvent y arriver... Quelle serait selon vous la solution pour rétablir un niveau de sécurité acceptable ?
Il faut changer les équipes qui dirigent la sécurité au groupement des cartes bancaires, car ils ne semblent pas essentiellement motivés par des considérations techniques. En sécurité, cela ne pardonne pas. Ensuite il faut aussi repenser à tout ce que l'on mettra dans la puce.
On a du mal à comprendre la réaction le Groupement des Cartes Bancaires. Comment se sont passés vos premiers contacts avec eux et quelles étaient vos exigences ?
Moi j'ai tout simplement délégué les négociations à un avocat spécialisé en droit industriel, qui s'est adjoint les services d'un cabinet d'étude de brevets. Ils s'occupaient de tout et devaient faire au mieux. Moi je n'ai jamais rencontré personne du groupement pendant les négociations.
Sur quelle base vous ont-ils attaqué en justice ? Quels étaient leurs arguments ?
Pour faire bouger la justice ils ont apparemment crié au complot d'état, au trouble majeur a l'ordre public etc... ensuite ce sont des arguments de technocrates juristes, auxquels je m'intéresse peu. En effet, je ne crois pas pouvoir y intervenir avec un quelconque résultat à titre personnel.
Quelle fut la justification de votre condamnation par le tribunal ?
J'avoue ne pas encore l'avoir comprise. C'est pour cela que nous avons demandé l'appel. Bien des points affirmés par le tribunal me semblent contraires à l'évidence, ou bien non explicités.
Quelle fut la position de Roland Moreno dans cette affaire ?
De ce que j'ai pu en entendre, son souci a été de clamer qu'il restait de l'avenir dans des solutions "cartes à puces". Ce en quoi il a raison, c'est ce qui se trouve à l'intérieur qu'il aurait fallu faire évoluer depuis longtemps.
Quels conseils donneriez-vous à un jeune hacker désireux de partager ses découvertes avec les industriels qu'elles concernent ? Que faire pour se protéger et que votre mésaventure ne se répète pas ?
La médiatisation a aidé à ce que le comportement malhonnête du groupement des cartes bancaires soit mal vu. D'autres entreprises auraient un peu plus de mal à faire pareil maintenant... Je crois aussi que c'est une question de libertés publiques que le législateur pourrait se poser.
Vos talents doivent aujourd'hui intéresser de nombreuses sociétés informatiques. Quelle est votre situation actuelle, que ce soit d'un point de vue professionnel ou vis-à-vis de la justice ?
Je n'ai pas d'offre d'embauche ferme de grandes sociétés, mais quelques petits partenaires m'ont offert de monter de nouveaux projets avec eux. Cela prend du temps pour se réaliser. Le procès est en appel.
J'étais ingénieur informaticien, je sortais de l'INSA de Lyon ou j'avais fait le département Génie Electrique. Rien de bien particulier en fait... je travaillais pour des banques, pour les marchés financiers.
Etiez-vous en contact avec l'Underground Informatique ? Le monde des hackers, des crackers et autres bidouilleurs aux limites de la légalité...
Non je n'avais aucun contact. Les quelques rares messages échangés me semblaient stériles : j'avais en face de moi des jeunes plus intéressés par le fait de se donner une identité de hacker que de vouloir faire de la belle technique tout simplement.
Qu'est-ce qui vous a amené au départ à vous intéresser aux failles du système de cryptage des cartes bancaires ?
Mon observation de l'industrie en général, et de l'apparence extérieure des terminaux de paiement m'a fait penser que la chose était possible. L'enjeu si je trouvais, ainsi que le plaisir de refaire de l'électronique chez moi, ont aussi compté.
Pouvez-vous expliquer aux béotiens que nous sommes les grandes lignes de votre méthode pour pirater les cartes bancaires ?
C'est comprendre comment les vraies cartes sont conçues. On peut alors en fabriquer soi-même, qui pourront tromper les terminaux de paiement qui autoriseront alors des achats.
Vous êtes arrivé seul à casser les algorithmes de cryptage des cartes bancaires. On imagine donc que d'autres peuvent y arriver... Quelle serait selon vous la solution pour rétablir un niveau de sécurité acceptable ?
Il faut changer les équipes qui dirigent la sécurité au groupement des cartes bancaires, car ils ne semblent pas essentiellement motivés par des considérations techniques. En sécurité, cela ne pardonne pas. Ensuite il faut aussi repenser à tout ce que l'on mettra dans la puce.
On a du mal à comprendre la réaction le Groupement des Cartes Bancaires. Comment se sont passés vos premiers contacts avec eux et quelles étaient vos exigences ?
Moi j'ai tout simplement délégué les négociations à un avocat spécialisé en droit industriel, qui s'est adjoint les services d'un cabinet d'étude de brevets. Ils s'occupaient de tout et devaient faire au mieux. Moi je n'ai jamais rencontré personne du groupement pendant les négociations.
Sur quelle base vous ont-ils attaqué en justice ? Quels étaient leurs arguments ?
Pour faire bouger la justice ils ont apparemment crié au complot d'état, au trouble majeur a l'ordre public etc... ensuite ce sont des arguments de technocrates juristes, auxquels je m'intéresse peu. En effet, je ne crois pas pouvoir y intervenir avec un quelconque résultat à titre personnel.
Quelle fut la justification de votre condamnation par le tribunal ?
J'avoue ne pas encore l'avoir comprise. C'est pour cela que nous avons demandé l'appel. Bien des points affirmés par le tribunal me semblent contraires à l'évidence, ou bien non explicités.
Quelle fut la position de Roland Moreno dans cette affaire ?
De ce que j'ai pu en entendre, son souci a été de clamer qu'il restait de l'avenir dans des solutions "cartes à puces". Ce en quoi il a raison, c'est ce qui se trouve à l'intérieur qu'il aurait fallu faire évoluer depuis longtemps.
Quels conseils donneriez-vous à un jeune hacker désireux de partager ses découvertes avec les industriels qu'elles concernent ? Que faire pour se protéger et que votre mésaventure ne se répète pas ?
La médiatisation a aidé à ce que le comportement malhonnête du groupement des cartes bancaires soit mal vu. D'autres entreprises auraient un peu plus de mal à faire pareil maintenant... Je crois aussi que c'est une question de libertés publiques que le législateur pourrait se poser.
Vos talents doivent aujourd'hui intéresser de nombreuses sociétés informatiques. Quelle est votre situation actuelle, que ce soit d'un point de vue professionnel ou vis-à-vis de la justice ?
Je n'ai pas d'offre d'embauche ferme de grandes sociétés, mais quelques petits partenaires m'ont offert de monter de nouveaux projets avec eux. Cela prend du temps pour se réaliser. Le procès est en appel.
Commentaires
Vous devez vous connecter ou devenir membre de La Spirale pour laisser un commentaire sur cet article.
