Expert en cybersécurité : la nouvelle carte d’identité numérique est facile à falsifier

La carte d’identité numérique est disponible depuis le 19 juin de cette année. Elle est accessible en se connectant à l’application BankID avec votre code personnel et est basée sur les données stockées dans un document d’identité délivré par la police, tel qu’un passeport ou une carte d’identité nationale.

La carte d’identité numérique comporte de nombreuses fonctions de sécurité intégrées, mais les experts avertissent maintenant qu’il est facile de falsifier la carte si vous n’utilisez pas toutes les fonctions disponibles dans l’application.

– Le code QR de la carte d’identité repose sur un système cryptographique éprouvé, basé sur les données contenues dans la puce de votre passeport ou de votre carte d’identité physique. Mais si vous ne vous fiez qu’à un contrôle visuel, les résultats sont pires que ceux d’une carte d’identité physique », explique Pontus Johnson, professeur au Centre pour la cyberdéfense et la sécurité de l’information de l’Institut royal de technologie.

Outre le code QR, l’application permet de lire la carte d’identité à l’aide de l’application BankID sur un autre téléphone portable. En outre, l’arrière-plan et le code QR bougent et un son est émis lorsque vous touchez l’écran, son qui varie en fonction de la durée pendant laquelle vous maintenez votre doigt appuyé sur l’écran.

Certaines entreprises, dont Systembolaget, se contentent d’un contrôle visuel de la carte d’identité. Teodor Almqvist, attaché de presse de Systembolaget, a écrit dans un courriel à DN que la politique de l’entreprise est de traiter la carte d’identité numérique comme une carte physique.

« Nos employés dans les magasins ont reçu une formation et savent donc comment manipuler la carte d’identité électronique et effectuer un contrôle visuel de l’image, de l’âge, des graphiques et du son.

L’utilisation de la nouvelle carte est limitée aux achats en magasin. En outre, M. Almqvist écrit que Systembolaget « évaluera en permanence l’utilisation et le contrôle de ce type de document d’identification », selon l’e-mail.

Un simple contrôle visuel de la carte d’identité numérique, en tapant plusieurs fois sur l’écran et en écoutant le son, suffit-il pour savoir que la carte n’est pas contrefaite ?

– Non, ce n’est pas le cas. Il n’est pas très difficile de créer une application qui fonctionne comme la carte d’identité de BankID sur la base d’une capture d’écran, tout le monde peut le faire, déclare Pontus Johnson.

Fredrik Blix, expert en cybersécurité, a réussi à créer en quelques minutes une fausse version de la carte d’identité avec un code QR et un arrière-plan mobiles.

– J’ai pris deux captures d’écran et les ai assemblées en une image gif animée qui change. Cela ressemble beaucoup à un post normal si vous ne savez pas exactement ce qu’il faut regarder. Par exemple, l’arrière-plan doit bouger plus lentement que le code QR », explique Fredrik Blix.

Petter Dahl est un expert en identification électronique. chez Finansiell id-teknik Bid ab, la société à l’origine de BankID. Selon eux, il ne suffit pas de regarder la carte d’identité et de voir que l’écran bouge d’une certaine manière pour être sûr que le document d’identité n’est pas contrefait. Ils estiment toutefois qu’un contrôle visuel peut à lui seul « remplir une fonction d’identification dans la société ».

– Différents types de protection contre l’usurpation d’identité sont intégrés à l’application afin de rendre la contrefaçon plus difficile. Il n’est pas possible de faire une capture d’écran de la carte d’identité et de se faire passer pour quelqu’un d’autre. Vous pouvez également lire la carte d’identité de quelqu’un avec l’application BankID sur votre propre téléphone portable », explique Petter Dahl, expert en identification électronique chez Finansiell id-teknik Bid ab.

Est-ce important d’avoir des dispositifs de sécurité supplémentaires si la plupart des entreprises n’utilisent de toute façon qu’un contrôle visuel ?

– Il incombe aux entreprises de former leur personnel. Nous travaillons activement à la diffusion des connaissances sur la manière dont les cartes d’identité numériques doivent être utilisées et contrôlées. Cela implique, entre autres, un solide programme de formation pour les entreprises qui reçoivent la carte d’identité numérique », déclare Petter Dahl de Finansiell ID-teknik Bid ab.

Fredrik Blix, expert en cybersécurité, pense que les tentatives de contrefaçon de la carte d’identité numérique se multiplieront à l’avenir.

– Nous assisterons certainement à des tentatives de la part de personnes qui, par exemple, essaieront d’entrer dans un club avec une carte d’identité falsifiée, ce qui sera assez facile à faire si les personnes qui procèdent aux vérifications ne savent pas à quoi s’attendre », déclare Fredrik Blix.

Bien que la situation soit incertaine pendant un certain temps, alors que la carte est encore relativement nouvelle, la carte d’identité numérique sera encore plus sûre qu’une carte physique à l’avenir, déclare M. Blix.

– C’est un peu comme les billets de banque. Les commerçants ne sauront peut-être pas exactement ce qu’il faut rechercher, ils reconnaîtront peut-être quelque chose dans le comportement de Swish, mais en cinq minutes, il est possible de créer une application qui ressemble à la nouvelle carte d’identité et qui fonctionne de la même manière. Ce n’est pas la technologie qui fait défaut, mais les connaissances des gens », explique l’expert en cybersécurité.