Paiement sécurisé sur Internet avec le protocole SET

Les moyens utilisés couramment dans le paiement associé au commerce électronique, que ce soit sur Internet ou Minitel, ne sont pas satisfaisants. Le plus souvent, l’acheteur effectue le paiement en donnant simplement le numéro et la date d’expiration de sa carte bancaire au commerçant. Ensuite, le commerçant se retourne vers sa banque et lui demande de procéder au paiement.

Il va de soi que cette méthode n’assure pas la protection des informations de la carte bancaire : n’importe qui, par la suite, peut utiliser ces informations pour procéder à un autre paiement. En outre, le commerçant n’est pas certain d’être payé car il se peut que l’acheteur ne soit pas solvable, ou qu’il veuille utiliser la possibilité légale de répudier ce paiement. Il va de soi que cela n’est pas acceptable si la marchandise achetée peut être distribuée immédiatement à l’acheteur, comme c’est le cas pour l’achat d’un logiciel sur Internet par exemple.

Certaines méthodes de paiement, s’appuyant sur le protocole de chiffrement et d’authentification SSL (secure socket layer), permettent de chiffrer les données et ensuite de demander l’autorisation bancaire en direct. Malgré cette amélioration de la sécurité, rien ne dit que l’acheteur est bien le possesseur de la carte bancaire.

Dans cet article, nous présentons tout d’abord le scénario de commerce électronique, tel qu’il est aujourd’hui ; puis nous citons les problèmes posés par la sécurisation du processus de paiement.

De nombreux protocoles ont été mis en œuvre récemment pour apporter une réelle sécurité au paiement sur Internet, comme par exemple « Kleline » soutenu par la Compagnie bancaire, C-SET lancé par le Groupement des cartes bancaires et le protocole SET (secure electronic transaction) parrainé par Visa et MasterCard. C’est ce dernier protocole, actuellement le plus répandu dans le monde, que nous présentons ici.

À fin d’illustration, nous présentons ensuite les solutions logicielles développées par IBM sur la base des spécifications SET et nous évoquons les projets pilotes utilisant ces progiciels.

Nous mentionnons enfin les projets SET utilisant la carte à puce comme moyen d’authentification, notamment en France avec Cyber-COMM.