ATC : Application Transaction Counter (EMV)
Sécurité
ATC : Application Transaction Counter, compteur de transactions tenu par la puce d'une carte bancaire EMV (Europay, Mastercard, Visa). « Le nombre que la carte incrémente à chaque paiement et ne peut jamais faire reculer », par analogie avec le compteur kilométrique d'une voiture d'occasion, à ceci près que celui-ci ne se trafique pas au tournevis.
Rôle cryptographique : Le compteur, codé sur deux octets, entre dans la dérivation de la clé de session de la carte et dans le calcul du cryptogramme de demande d'autorisation (ARQC, Authorization Request Cryptogram), avec le montant, la devise, la date et un nombre imprévisible fourni par le terminal. Chaque transaction produit ainsi un cryptogramme différent, que l'on ne peut pas rejouer.
Détection des clones : L'émetteur mémorise le dernier ATC vu pour chaque carte. Un ATC déjà utilisé, inférieur au précédent ou en saut anormal signale un rejeu ou une carte clonée. Un clone devrait deviner l'avenir du compteur et la clé de la carte, ce qui fait beaucoup pour un seul fraudeur.
Homonyme : ATC désigne aussi l'Air Traffic Control, le contrôle aérien. On évitera de confondre les deux lors d'un incident : l'un compte les paiements, l'autre les avions, et aucun des deux n'apprécie les doublons.
Ce qui arrive si on s'en passe
Un émetteur qui ne vérifie pas la progression de l'ATC accepte qu'un cryptogramme capturé lors d'un paiement sans contact soit rejoué, ou qu'une carte clonée coexiste avec l'originale sans éveiller de soupçon. La fraude n'apparaît alors qu'à la réclamation du porteur, des jours plus tard, quand l'argent est déjà parti. Un système d'autorisation qui ignore les sauts anormaux du compteur se prive en outre de l'un des rares indices fiables d'une attaque sur la puce, fourni pourtant gratuitement à chaque transaction.
Explication de la marmotte
Chaque carte bancaire à puce tient un petit compteur qui augmente de un à chaque paiement. Ce numéro est mélangé aux informations du paiement pour produire un code secret unique, différent à chaque fois. La banque garde en mémoire le dernier numéro reçu : si elle voit revenir un numéro déjà utilisé, c'est qu'un fraudeur rejoue un ancien paiement ou utilise une copie de la carte. Ce simple compteur sert donc d'alarme contre les clones.
Où ce terme est utilisé
- Sécuriser une transaction bancaire contre rejeu et falsification (3 occurrences)