Davantage de sécurité pour les transactions mobiles

29.06.2023 La BFH a dévoilé l’APC Demo App, qui met l’interface «Android Protected Confirmation» (APC) à disposition des utilisateurs et utilisatrices d’un smartphone Pixel, qui peuvent ainsi acquérir une expérience pratique et même devenir catalyseurs du changement en participant à un sondage interactif.

Certains calculs nécessitent un niveau de confiance plus élevé que celui fourni par les environnements d’exécution logiciels standard. Dans de tels cas et pour effectuer les calculs, le portefeuille d’identité numérique de l’UE (EUDI Wallet) peut s’appuyer sur un environnement d’exécution de confiance (TEE) et des éléments sécurisés (SE) localement ou sur une technologie équivalente ou similaire à distance, selon le terminal. Dans le but d’apporter un niveau de confiance accru à l’ensemble de l’implémentation, des moyens d’appliquer une norme commune pour accéder à un TEE ou à un SE au sein du portefeuille EUDI seront définis.

Voici ce qu’indique explicitement l’initiative européenne eIDAS (electronic IDentification, Authentication and trust Services) au chapitre 4.3.2 «Trusted Environments» de son Architecture européenne d’identité numérique et cadre de référence.

C’est là qu’Android Protected Confirmation (APC) entre en jeu. APC offre une «confirmation de confiance» (des transactions) à l’aide de clés matérialisées sur une «UI de confiance» – une interface utilisateur sécurisée matériellement fonctionnant dans un environnement d’exécution de confiance (TEE). La «confirmation protégée» confirme l’approbation des utilisateurs finaux avec un degré de confiance élevé, et ce, même si le système d’exploitation ou son noyau ont été compromis.

Confirmation des transactions sur une UI de confiance

Une application de démonstration développée par des chercheurs et chercheuses de l’Institute for Cybersecurity and Engineering ICE de la Haute école spécialisée bernoise BFH permet aux utilisateurs de découvrir la «confirmation protégée» sur un terminal Android. Seuls les smartphones Pixel 3 et plus récents sont actuellement pris en charge.

Grâce cette appli, les personnes intéressées peuvent facilement se faire une idée du comportement de la nouvelle fonction de sécurité et se prononcer, dans le cadre d’un sondage, sur les principaux potentiels de développement de l’application. Au cours d’une prochaine étape, l’équipe de projet prévoit de piloter la « confirmation protégée » dans l’app UBS Access.

Ce projet novateur bénéficie du soutien d’Innosuisse et d’UBS Next.