Journal Panne du système 3D Secure… pour cause de non renouvellement de nom de domaine

Posté par  . Licence CC By‑SA.
46
15
juin
2017

Hier, le système 3D Secure opéré par Atos wordline, permettant d’authentifier les utilisateurs de cartes bancaires lors d’un achat en ligne, est tombé en panne.

Il s’agit de la fenêtre vers laquelle certains acheteurs sont redirigés après avoir renseigné leur numéro de carte bancaire et qui demande une confirmation supplémentaire (typiquement un code à usage unique délivré par un boîtier électronique).

La cause serait tout simplement l’oubli de renouvellement du nom de domaine wlp-acs.com du serveur qui héberge l’interface d’authentification. Voir l’historique du nom de domaine par Stéphane Bortzmeyer.

La panne aura durée plus de 24 h.

Elle a touché les détenteurs de cartes Visa (et peut‐être MasterCard, selon les sources), sur les banques utilisant le service.

Selon la façon dont le site de commerce gère l’erreur, cela pouvait se traduire par une simple iframe vide, aucun message d’erreur et pas mal de perplexité du côté de l’acheteur…

  • # Lamentable

    Posté par  (site web personnel) . Évalué à 10.

    Au final, ça fait quand même très amateur tout cela !

  • # au moins, ils se sont pas fait piquer le DN

    Posté par  . Évalué à 5.

    tout est dans le titre… si quelqu'un avait chopé le DN pendant ces 24H, il aurait pu se faire des couilles en or, non?
    Du coup, ça pose quand même la question de ce type de mécanismes: est-ce vraiment la meilleure façon? Bon, je n'ai aucune idée de comment on pourrait faire autrement, je l'admets… je ne fais que poser une question.

  • # merci atos pour ce vendredi !

    Posté par  . Évalué à 10.

    je me demandais si les gars de voyage sncf sont parti chez atos ?

    c'est surprenant que cela arrive encore en 2017 !

  • # 3D Secure opéré par Atos ? Ou pas...

    Posté par  . Évalué à 10.

    Hello

    Je peux pas laisser passer ce message sur ce site.
    3D Secure/SecureCode est un protocole reposant sur un ensemble d'éléments.
    Les éléments les plus techniques sont le MPI (Merchant Plug In), installé chez le commerçant ou chez son fournisseur de solutions de paiement, le directory server (un annuaire) et l'ACS, Access Control Server.
    L'ACS héberge notamment la page web "de la banque" qui affiche le formulaire où saisir le code reçu par SMS ou la date de naissance du chat ou je ne sais quel critère d'authentification.

    Et 3D Secure est un protocole compliqué et onéreux à faire certifier. Donc banques et commerçants sous-traitent.
    Et, au moins en france, toutes nos banques ont choisi de sous-traiter chez Atos. Yay.
    Mais ça ne veut pas dire que 3D Secure est opéré par Atos, juste que toutes les banques françaises mettent leurs oeufs dans le même panier. Rassurez vous… Dans la chaine, y'a des serveurs de Visa et Master Card qui restent sous juridiction US, ne crions pas à une victoire patriotique trop tôt. Une transaction non-3D Secure peut être inconnue des États-Unis, une transaction 3D-Secure non.

    En tout cas, bravo Atos pour l'échec critique !

    • [^] # Re: 3D Secure opéré par Atos ? Ou pas...

      Posté par  . Évalué à 7. Dernière modification le 15 juin 2017 à 23:36.

      Ce point n'était pas clair pour moi, et effectivement la page WP de 3D-Secure ne parlait pas d'Atos mais il me semblait comprendre que toutes les banques (l'essentiel des françaises du moins) étaient affectées. Dans l'ignorance, j'ai donc courageusement utilisé cette formulation (le système "3D Secure" opéré par Atos wordline) qui, si je l'interprète avec un peu de mauvaise foi, peut laisser entendre que d'éventuels systèmes 3D Secure opérés par d'autres boîtes n'ont pas connu cette panne.

      Merci pour la précision.

      (D'après ZDNet, CIC - Crédit Mutuel utilise un autre nom de domaine et n'a pas été affecté.)

  • # Des branquignoles

    Posté par  (site web personnel, Mastodon) . Évalué à 10.

    Franchement, ça ne m'étonne pas d'Atos. Leur "kit" de paiement en ligne est un truc infame à intégrer dans une appli et à installer sur un serveur, qui date de plus de 16 ans. Oh il a certainement dû un peu évoluer, mais c'est une API toujours aussi dégueulasse : faut appeler un binaire avec 50 paramètres. Et croisez les doigts pour avoir un noyau compatible, et pas trop récent.
    En tout cas, c'était encore cette situation il y a 1-3 ans (je sais plus) la dernière fois que j'ai regardé, et j'avais été moyennement surpris de constater que ça n'avait pas bougé depuis la dernière fois, en 2001-2002, où j'avais utilisé leur merde.

    Le web a évolué, eux non. Et la doc est tout aussi immonde, avec des exemples de codes dignes de débutants.

    Bref, un truc qu'ils doivent retoucher une fois tout les 5 ans. Alors oublier de renouveler un nom de domaine, c'est finalement "normal".

    Et si vous pensez que je suis un peu dur : le nom de domaine a été renouvelé seulement pour un an. un an. Pour un truc quand même critique. Faut croire que le réserver pendant 5 ans, histoire d'être tranquille, c'était trop pour eux… Faut s'attendre à ce que ça pète à nouveau dans un an.

    Ok, bon, on peut se dire, tous les ans, c'est bien, ça entretien "la pression", ça évite d'oublier qu'il y a un nom de domaine à renouveler. Ou pas.

    • [^] # Re: Des branquignoles

      Posté par  (site web personnel) . Évalué à 10.

      Même expérience. Ça donne l’impression qu’il n’y a dans l’équipe plus que ceux qui touchent les salaires et que ceux qui faisaient (des stagiaires ?) ne sont plus là depuis longtemps.

      ce commentaire est sous licence cc by 4 et précédentes

      • [^] # Re: Des branquignoles

        Posté par  . Évalué à 7.

        C'est pas un peu la définition d'Atos ?

        • [^] # Re: Des branquignoles

          Posté par  . Évalué à 6.

          Atos c'est des dizaines de milliers de personnes et, surtout, des tas sites/branches d'activité différentes. Dans celle où j'ai travaillé (l'énergie), non, cette définition ne s'appliquait pas du tout (ça a peut-être changé depuis mon départ il y 5 ans).

          En revanche, il est vrai qu'il y a dix, vingt ou trente ans, il y avait (dans ma branche, du moins) un management avec une vision industrielle qui cherchait plus à faire de grands projets qu'à fourguer des "consultants".

          Il y aussi le fait que les principaux clients de ces grandes SSII sont de grandes entreprises avec une direction des achats puissante qui choisit souvent le "soit-disant" mieux-disant sans tenir trop compte de l'avis des services concernés par le projet => pour avoir l'affaire, les commerciaux bradent l'offre quitte à ce que les équipes de réalisation bâclent pour finir dans les coûts.

          C'est bien sûr une vision à court terme.

    • [^] # Re: Des branquignoles

      Posté par  . Évalué à 10.

      le 1 an ca ressemble au stagiaire/technicien qui paye avec ses sous le renouvellement pour "aider", comme a la fin du mois il sait que la compta ne va pas valider ses frais "car il manque le numéro de tva intracommunautaire", une impression d'ecran n'est pas une facture etc … . a propos ta demande de congé est refusé, le chef prend les même date que toi.

      autant prendre le moins chère

      pour le code, ca doit être un peu casse couille a certifié toussa, surtout coûter des sous pour l’évolution et la certification. Bon j'imagine qu'atos a quand même les moyen de le faire, cela veut dire qu'il n'ont meme pas un budget affecté a cette tache, maintenance code ! ni au renouvellement de domaine \o/
      Ca me fait penser au velib 15 ans de non evolution du produit rien. Après ca chouine quand ca perd le marché pourtant c’était pas une petite PME.

      quand les commercials ont les postes de direction, faut pas s'etonner.

      • [^] # Re: Des branquignoles

        Posté par  . Évalué à 4.

        Ca me fait penser au velib 15 ans de non evolution du produit rien. Après ca chouine quand ca perd le marché pourtant c’était pas une petite PME.

        Sur le Vélib (en tous cas sa déclinaison parisienne, les autres je les utilise suffisamment peu souvent pour avoir un avis précis dessus), je suis assez partagé :

        Côté infrastructure informatique, c'est assez cata (anecdote incoming). On m'a quand même "perdu" un vélo pendant une semaine, en me rappelant le risque de perte de ma caution à chaque fois que je les rappelais pour prendre des nouvelles. Tout ça pour m'annoncer au dernier appel qu'en fait, le vélo n'avait pas vraiment été physiquement perdu, mais que c'est l'informatique qui avait oublié de le noter comme retourné. Et qu'évidemment, à part ce dernier contact, aucun des employés de Vélib que j'ai eu au téléphone n'a pris la peine de vérifier ce point. Les plots, d'ailleurs (plusieurs en tous cas sur la borne où je me gare tous les matins) ne marchent pas toujours et restent parfois au vert tout le long de l'amarrage. Supposant que ma déconvenue avait pu venir de là, j'ai signalé la chose pendant mes nombreux échanges avec eux, avec numéro de la borne et du/des plots. Plusieurs mois après, le défaut était toujours là. Bref. Leur site est assez bof, et l'état des stocks retourné par leur API est parfois très fucké (ceux qui suivent via http://v.mat.cc/ savent de quoi je parle).

        Côté vélo eux-mêmes, en revanche, je les trouve toujours aussi pertinents. Lourds, mais du coup très stables. Confortables. Résistants à pas mal d'agressions. Quasiment impossible à dérailler (par contre, grosse galère à renrailler quand ça arrive).

        Comme tous les usagers, j'attends avec curiosité l'arrivée du nouveau prestataire, mais je crains de regretter un peu les vélos JCDecaux. L'infra nettement moins.

        • [^] # Re: Des branquignoles

          Posté par  . Évalué à -1.

          la facilité de vol des velib sur leur borne est déconcertante !

          sur youtube il y a des flagrant deli de filmé, en 3 minute un velib dans la poche, pourtant il existe au 21 eme siecle plein d'aliage d'acier qui résiste à ce genre de contrainte. mais forcement c'est plus chere …

          la c'est du fer a ferré les ânes qui ont été utilisé, pathetique

          • [^] # Re: Des branquignoles

            Posté par  (site web personnel) . Évalué à 6. Dernière modification le 17 juin 2017 à 09:24.

            Euh… Juste pour info, dans d'autres villes les vélos ne sont pas fixés sur une borne.
            Il n'y a pas de bornes en fait.
            Ils sont posés, tranquille, sur leur béquille (bon, quand il y a trop de vent ça tombe du coup, mais pas bien gênant), n'importe où dans la ville (pas de "site de stockage", tu poses le vélo là où tu as besoin de le poser, devant chez toi par exemple, on est en 2017 bordel, pas en 2007, et les gens on un smartphone avec GPS qui leur indique où ils sont et où est le vélo à louer).

            Ce qui est déconcertant, c'est qu'on trouve normal qu'on doive avoir des bornes fixes et qu'on devrait mettre un "alliage d'acier" ou que sais-je : le problème des parisiens n'est pas la.

            • [^] # Re: Des branquignoles

              Posté par  . Évalué à 1. Dernière modification le 17 juin 2017 à 22:27.

              Dans les autre ville cela ne s appel pas des velib ! Tu note la différence. Et je mettais en avant l immobilisme de deco, sur des solutions pas chere pour eviter de se faire braquer des velib.

      • [^] # Re: Des branquignoles

        Posté par  . Évalué à 10.

        le 1 an ca ressemble au stagiaire/technicien qui paye avec ses sous le renouvellement pour "aider", comme a la fin du mois il sait que la compta ne va pas valider ses frais "car il manque le numéro de tva intracommunautaire", une impression d'ecran n'est pas une facture etc … . a propos ta demande de congé est refusé, le chef prend les même date que toi.

        Et encore, le stagiaire/technicien a eu de la chance que le renouvellement ne se fasse pas par payment CB protégé par 3D Secure

        • [^] # Re: Des branquignoles

          Posté par  (site web personnel) . Évalué à 1.

          Heu, de ma propre expérience (très limitée j'en conviens), quand on récupère un nom de domaine qu'on avait oublié de renouveler (hahem, c'était pas moi, c'était mon ancienne affectation, après mon départ), on ne peut pas renouveler pour une autre durée qu'un an.

          Mes deux kopeks…

          Intendant, donc méchant, mais libre !

  • # Aaaaah les virements

    Posté par  . Évalué à 5.

    Et sinon, on passe quand à payer par virement ?

    Bon, ceux qui me connaissent savent que je ne rate pas une occasion de parler des bienfaits des virements.

    • [^] # Re: Pas assez rapide

      Posté par  (site web personnel) . Évalué à 2.

      Pour le cas d'un paiement chez un commerçant, la carte a l'avantage de confirmer quasi immédiatement l'accord ou pas de la transaction.
      Payer les commerçants par virement ça me rajouterai presque 48h pour valider le paiement (délai moyen constaté par moi© entre une banque DE vers FR ou BE)
      C'est pas mortel, mais un peu relou…

      • [^] # Re: Pas assez rapide

        Posté par  . Évalué à 4.

        C'est vrai que c'est le cas actuellement. Et ça n'a pas de sens en vérité. Je sais que la consolidation des virements n'est pas une opération anodine, et doit prendre du temps. Mais une simple notification de la banque émettrice vers la banque réceptrice peut se faire en instantané. Sans aucun souci particulier. Et surtout, sans Visa ou MasterCard.

      • [^] # Re: Pas assez rapide

        Posté par  (site web personnel, Mastodon) . Évalué à 10. Dernière modification le 16 juin 2017 à 11:26.

        Payer les commerçants par virement ça me rajouterai presque 48h pour valider le paiement (délai moyen constaté par moi© entre une banque DE vers FR ou BE)

        Même entre France et France si ce sont 2 banques différentes.

        Par contre en Corée, payer sur internet par virement est la norme (plus que payer par carte), et le virement est… quasi instantané! C'est donc tout à fait possible (bien que j'ai déjà eu les explications qui racontaient pourquoi ça ne l'était pas, car il faut consolider les montants de tous les virements entre chaque banque de la journée, blablabla. Mais c'est du baratin. D'autres pays font des échanges en direct sans problème. On parle d'échanger des nombres par protocole internet là, pas des billets de banques physiques!). Sur la plupart des sites marchands, on peut payer par virement et tout est adapté pour rendre cela très simple et rapide.

        P.S.: par contre quand j'y vivais (vers 2010?), la plupart des sites bancaires étaient à la ramasse technologiquement en imposant encore d'utiliser IE sur Windows avec ActiveX! Oui on peut pas faire tout bien. Et je ne suis donc absolument pas en train de dire que les banques coréennes sont un modèle. Mais au moins sur le point des virements bancaires, ils créent pas d'attentes artificielles.

        Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]

        • [^] # Re: Pas assez rapide

          Posté par  (site web personnel) . Évalué à 9.

          Même entre France et France si ce sont 2 banques différentes.

          Un virement en zone SEPA doit se faire en un jour ouvré maintenant.

          Par contre en Corée, payer sur internet par virement est la norme (plus que payer par carte), et le virement est… quasi instantané!

          Sauf qu'en Corée de Sud, c'est un pays unifié, avec la même monnaie et une banque centrale nationale.

          C'est compliqué de comparer cette situation avec la zone SEPA et Euro qui doivent gérer pas mal de choses en plus. Du fait que l'unification dans ces zones n'est pas complète.

          'est donc tout à fait possible (bien que j'ai déjà eu les explications qui racontaient pourquoi ça ne l'était pas, car il faut consolider les montants de tous les virements entre chaque banque de la journée, blablabla. Mais c'est du baratin. D'autres pays font des échanges en direct sans problème. On parle d'échanger des nombres par protocole internet là, pas des billets de banques physiques!). Sur la plupart des sites marchands, on peut payer par virement et tout est adapté pour rendre cela très simple et rapide.

          C'est un peu naïf de croire que c'est simple.
          En réalité, nos banques (dans la zone SEPA et Euro) ne s'échangent pas de la monnaie directement. Ils doivent passer par la BCE pour convertir les euros des transaction en monnaie virtuelle intermédiaire pour qu'ensuite les banques puissent s'échanger ces fameuses dettes.

          Et la BCE a un contrôle sur l'allocation de ces montants intermédiaires, pour notamment éviter des situations risquées pour la banque ou l'État. Pour limiter donc de manière drastique le besoin en cette monnaie intermédiaire et l'usage de ce protocole, les banques font un bilan quotidien des dettes qu'ils se doivent mutuellement (pour les annuler, si je te dois 100€ et que tu m'en dois 10€, il suffit que je t'envoie 90€) pour ensuite réaliser le véritable échange en une fois.

          C'est donc peut être de la monnaie numérique, mais derrière cela nécessite des transferts qui sont limités en nombre et volume.

          C'est pourquoi, en Europe, à part entre comptes d'une même banque, les virements (et la plupart des paiements) ne sont pas instantanées. Et il n'y a pas de solutions hyper simples pour résoudre ce problème tout en ayant des garantie de stabilité monétaire et bancaire dans ces zones économiques / bancaires. Après on pourrait découpler le montant affiché auprès des clients de celui des crédits / débits réels mais je crois que cela pose aussi des soucis.

          • [^] # Re: Pas assez rapide

            Posté par  . Évalué à 3. Dernière modification le 16 juin 2017 à 13:52.

            En réalité, nos banques (dans la zone SEPA et Euro) ne s'échangent pas de la monnaie directement. Ils doivent passer par la BCE pour convertir les euros des transaction en monnaie virtuelle intermédiaire pour qu'ensuite les banques puissent s'échanger ces fameuses dettes.

            Et la BCE a un contrôle sur l'allocation de ces montants intermédiaires, pour notamment éviter des situations risquées pour la banque ou l'État. Pour limiter donc de manière drastique le besoin en cette monnaie intermédiaire et l'usage de ce protocole, les banques font un bilan quotidien des dettes qu'ils se doivent mutuellement (pour les annuler, si je te dois 100€ et que tu m'en dois 10€, il suffit que je t'envoie 90€) pour ensuite réaliser le véritable échange en une fois.

            Merci pour cette explication, qui a le mérite de faire comprendre pourquoi il faut attendre 24 heures minimum pour un virement entre 2 banques.

            • [^] # Re: Pas assez rapide

              Posté par  . Évalué à 5.

              • [^] # Re: Pas assez rapide

                Posté par  (site web personnel, Mastodon) . Évalué à 4.

                Ahah! Justement quand je répondais au message qui explique que la situation est différente et que pour l'Euro ce serait moins simple, etc. voici la preuve que non seulement cela peut se faire mais en plus ça va enfin se faire chez nous!
                Il était temps, on a juste 10 ans de retard. ;-)

                Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]

                • [^] # Re: Pas assez rapide

                  Posté par  . Évalué à 3.

                  voici la preuve que non seulement cela peut se faire

                  Personne n'a dit que ce n'était pas possible. Juste que c'était compliqué.

                  « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

              • [^] # Re: Pas assez rapide

                Posté par  . Évalué à 2.

                L'article parle de 10 secondes au début, mais dans la suite de l'article, il dit que la limite de temps ne tiendra juste plus compte des jours ouvrés.

                « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

              • [^] # Re: Pas assez rapide

                Posté par  (site web personnel) . Évalué à 1.

                En gros avancer un paiement (en monnaie scripturale de moins de 15000€)… c'est pas con, fallait y penser! C'est vrai que si tout les client Amazon étaient à découvert le jour de Noël, ca aurai pu mettre tout le systeme en cause ! :)
                Quand tu vois la vitesse des virements de plusieurs milliards dans les salles de marchés, comment dire…
                (J'aimerai bien les voir implémenter un blockchain là dessus, comme c'est la mode d'en parler en ce moment dans le R&D des banques :)

                • [^] # Re: Pas assez rapide

                  Posté par  (site web personnel) . Évalué à 1.

                  (J'aimerai bien les voir implémenter un blockchain là dessus, comme c'est la mode d'en parler en ce moment dans le R&D des banques :)

                  Je me faisais la même réflexion, Ethereum, avec ses smarts contracts, est fait pour ça, non ?

                  « Il vaut mieux mobiliser son intelligence sur des conneries que mobiliser sa connerie sur des choses intelligentes. »

                  • [^] # Re: Pas assez rapide

                    Posté par  (site web personnel, Mastodon) . Évalué à 3.

                    Les crypto-monnaies sont à des années-lumière d'encaisser les fréquences de paiement des circuits bancaires classiques (plusieurs milliers d'opérations par seconde pour VISA par exemple). Actuellement lors d'un paiement en Bitcoin il faut plusieurs minutes pour que l'opération apparaisse dans la blockchain et que les comptes soient effectivement débités/crédités. J'ai lu quelque par qu'une crypto-monnaie était en développement pour le compte d'une banque pour améliorer ce point, mais elle ferait juste deux fois mieux que le Bitcoin, ce qui est complètement risible.

                    • [^] # Re: Pas assez rapide

                      Posté par  . Évalué à 2.

                      Les crypto-monnaies sont à des années-lumière d'encaisser les fréquences de paiement des circuits bancaires classiques (plusieurs milliers d'opérations par seconde pour VISA par exemple). Actuellement lors d'un paiement en Bitcoin il faut plusieurs minutes pour que l'opération apparaisse dans la blockchain et que les comptes soient effectivement débités/crédités

                      Tu confonds latence et débit.

                      J'ai lu quelque par qu'une crypto-monnaie était en développement pour le compte d'une banque pour améliorer ce point, mais elle ferait juste deux fois mieux que le Bitcoin, ce qui est complètement risible

                      « J’entend » des rumeurs de banques développant des cryptomonnaies en interne, mais j’aimerais qu’on m’explique l’intérêt. Le but d’une cryptomonnaie c’est de pouvoir tenir des comptes sans autorité centrale. Les banques ont cette autorité centrale : leur conseil d’administration.

                      • [^] # Re: Pas assez rapide

                        Posté par  (site web personnel) . Évalué à 2.

                        J'ai parlé d'Ethereum, qui est plus un protocole, et qu'il ne faut pas confondre avec le plus connu de ses tokens: l'ether. Ethereum, je ne suis pas un pro non plus, permet de créer des smarts contracts, mais aussi des tokens spécialisés, et des DAPPS (applications dans le sens logiciels). Il, le protocole, est nettement plus rapide que Bitcoin Unlimited.

                        Mes deux satoshis.

                        « Il vaut mieux mobiliser son intelligence sur des conneries que mobiliser sa connerie sur des choses intelligentes. »

                    • [^] # Re: Pas assez rapide

                      Posté par  (site web personnel) . Évalué à 0.

                      Les banques regardent du côté de Ripple pour ça en ce moment

                      https://ripple.com/

                      XRP The Digital Asset
                      for Payments
                      It’s the fastest and most scalable digital asset,
                      enabling real-time global payments
                      anywhere in the world.

            • [^] # Re: Pas assez rapide

              Posté par  (site web personnel) . Évalué à 9.

              qui a le mérite de faire comprendre pourquoi il faut attendre 24 heures minimum pour un virement entre 2 banques.

              Chez moi ils demandent 24h supplémentaires pour l’ajout du bénéficiaire avant de pouvoir faire le virement. En plus ils comptent en jours ouvrés, donc si je fais mon achat le Vendredi Saint, je dois attendre le mardi de Pâques pour faire mon virement, et le vendeur recevra l’argent au mieux le mercredi de Pâques. Cinq jours si tout se passe bien, et il faut que je pointe et repointe sur le site de ma banque pour bien mener à terme la transaction… Il n’est bien entendu pas possible d’ordonner le virement en même temps qu’on ajoute le bénéficiaire en laissant le système gérer lui-même la procédure et ordonner tout seul l’exécution du virement dès que le bénéficiaire est validé, ce serait trop simple à d~faut d’être lent… :-/

              ce commentaire est sous licence cc by 4 et précédentes

          • [^] # Re: Pas assez rapide

            Posté par  (site web personnel, Mastodon) . Évalué à 7.

            Bonjour,

            Sauf qu'en Corée de Sud, c'est un pays unifié, avec la même monnaie et une banque centrale nationale.

            On parle de virement en zone SEPA là, qui signifie " Single Euro Payments Area". C'est pour des paiements en même monnaie aussi. Et avec une Banque Centrale Européenne. Exactement la même situation.
            Certes dans les faits, on est plusieurs pays et y a aussi des banques centrales nationales (en Euro). Je ne suis pas en train de dire que c'est à 100% la même situation. Ce sera forcément un peu plus complexe. Mais c'est tout de même très proche et la base que tu cites y est (une seule monnaie et une banque centrale sur la zone complète). C'est entièrement possible.
            On n'y arrive pas encore, c'est pas grave, "on" (bon pas moi) devrait y travailler, mettre les protocoles en place, discuter, se chamailler, mettre à jour l'infra et les logiciels, etc. Pas grave, je suis pas pressé et peux bien attendre quelques années. Mais simplement nier en bloc la possibilité et dire "ah bah la situation est différente, c'est pas possible pour nous", c'est juste une excuse pour ne pas bouger. Désolé. :P

            En réalité, nos banques (dans la zone SEPA et Euro) ne s'échangent pas de la monnaie directement. Ils doivent passer par la BCE pour convertir les euros des transaction en monnaie virtuelle intermédiaire pour qu'ensuite les banques puissent s'échanger ces fameuses dettes.

            Je connais cette explication, et c'est justement ce que je mentionnais quand je parlais de la consolidation des montants en fin de journée. J'avais vu une explication en vidéo assez bien faite sur le sujet, dont le lien avait d'ailleurs été donné par quelqu'un sur linuxfr y a pas si longtemps. C'était très intéressant et ça explique bien des choses sur le statu-quo. Mais ça ne veut absolument pas dire que ce statu-quo n'est pas améliorable. Ça explique juste comment il marche là maintenant. Il ne faut pas se baser dessus pour en conclure que des virements instantanés ("instantané" signifiant ici quelques secondes: je fais un virement et disons dans les 10 secondes, le site marchand confirme la réception) sont impossibles à l'avenir en zone SEPA.

            Cette consolidation différée est artificielle et on pourrait tout à fait avoir un protocole instantané pour cela. Il est possible de gérer automatiquement la consolidation des échanges, et la problématique de cette monnaie intermédiaire qui est plus faible en quantité. Les échanges bancaires sont permanents et donc cela peut être lissé en continu (pas juste une fois par jour). Bien sûr, les très gros montants peuvent alors être bloqués plus longtemps. Ce sont eux qui vont poser des problèmes de stabilité. Mais les petits échanges sont nombreux et constants dans une journée et vont globalement "s'annuler" mutuellement en permanence comme tu l'expliques. Il n'est absolument pas besoin d'attendre 24h pour cela.
            Bon si quelqu'un demain fait un virement de 10 millions d'euros (ou même un virement plus petit mais qui vide le compte en banque d'une personne), oui lui devra attendre un peu pour avoir la confirmation. D'ailleurs je pense que ça lui convient aussi (ce sont des échanges monétaires à risque et des vérifications et confirmations sont nécessaires). De même les flux inattendus d'une banque à d'autres (plein de clients d'une banque qui dans un intervalle court feraient des virements externes) pourraient aussi être mis en attente. C'est une autre situation extrême, qui dénote potentiellement d'un problème.
            Mais pour le cas normal, tous les petits achats de quelques euros que tout le monde fait en permanence, la stabilité des échanges pourrait être garantie (si on faisait le nécessaire avec un protocole standardisé, ce qui demande une infra conséquente, ne le nions pas).

            Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]

            • [^] # Re: Pas assez rapide

              Posté par  . Évalué à 3.

              On parle de virement en zone SEPA là, qui signifie " Single Euro Payments Area". C'est pour des paiements en même monnaie aussi.

              Non, SEPA, c'est 34 pays. Tous ne sont pas dans la zone Euro https://en.wikipedia.org/wiki/Single_Euro_Payments_Area

              « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

              • [^] # Re: Pas assez rapide

                Posté par  (site web personnel, Mastodon) . Évalué à 3.

                Bien sûr, mais quel rapport? SEPA, c'est une zone de paiements en Euro. Le fait que certains pays ait aussi une autre monnaie nationale n'impacte pas la zone SEPA. Quand un de ces pays fait un paiement dans leur monnaie locale, ce n'est simplement pas un paiement SEPA. SEPA, c'est la zone pour les paiements en monnaie unifiée Euro.

                Un anglais, un danois ou autre personne hors zone Euro peut toutefois faire des échanges monétaires en Euro et bénéficier des avantages de SEPA.

                Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]

                • [^] # Re: Pas assez rapide

                  Posté par  . Évalué à 1.

                  Dans le cas d'un paiement en euro entre un danois et un anglais, la banque du danois et celle de l'anglais passe chacune par leur correspondant dans un pays de la zone euro. Pour les petites banques, elles passent pour une banque de leur pays qui a un correspondant.

                  C'est par cette astuce que les US avait condamné des banques étrangères qui avaient fait des paiements en $ avec l'Iran. La transaction avait transitée par les US via les correspondants.

                  • [^] # Re: Pas assez rapide

                    Posté par  (site web personnel) . Évalué à 4. Dernière modification le 16 juin 2017 à 17:45.

                    Dans le cas d'un paiement en euro entre un danois et un anglais, la banque du danois et celle de l'anglais passe chacune par leur correspondant dans un pays de la zone euro.

                    Plus de 75% (de tête, je n'ai plus la source, la, maintenant) des transactions transfrontalières en Euros se font en UK, tu as plus de chances que danois vers anglais, ou même danois vers français, passe par UK pour la compensation, que par un autre pays.
                    Du moins jusqu'en 2019, après c'est le grand flou et la BCE ne veut pas qu'un pays hors UE gère ça pour des raisons de souveraineté et de contrôle (la BCE n'aimait déjà pas que ce soit un pays hors zone Euro, mais la force de la politique pour ne pas froisser un "ami" avait eu raison des velléités de la BCE, mais maintenant qu'il y a eu toutes ces insultes et que l'un a dit qu'il veut partir, la politique à être gentille est moins à la mode)

                    Quelques liens rapides :
                    Brexit : L'UE veut renforcer la supervision de la compensation
                    Brexit : Bruxelles envisage des délocalisations forcées de la City

                    C'est par cette astuce que les US avait condamné des banques étrangères qui avaient fait des paiements en $ avec l'Iran.

                    La loi US fait qu'il n'y a pas de chambre de compensation en Dollars hors US (pas cons eux) et ces cons de "banques étrangères" avait accepté la demande de virement en Dollars (et les clients l'avaient demandé), le suicide de tout le monde par tout le monde.
                    Pas la même chose pour l'€ (voir au dessus, question "politique" que d'accepter Londres, je ne suis pas sûr de l'interdit complet ou pas hors UE pour l'€, à retrouver).

                    • [^] # Re: Pas assez rapide

                      Posté par  . Évalué à 1.

                      Mes connaissances sont antérieures à l'euro.
                      A l'époque, on gérait un fichier des correspondants pour chaque monnaie (européennes ou pas).

            • [^] # Re: Pas assez rapide

              Posté par  (site web personnel) . Évalué à 3.

              Je vais sans doute répéter un peu certaines réponses, mais je tiens à me justifier moi même.

              On parle de virement en zone SEPA là, qui signifie " Single Euro Payments Area". C'est pour des paiements en même monnaie aussi. Et avec une Banque Centrale Européenne. Exactement la même situation.

              C'est quand même vachement naïf de résumer cela ainsi.
              Si l'euro est utilisée dans les échanges, dans le fait on parle de pays avec des monnaies différentes et qu'il faut en tenir compte dans la procédure (car les banques concernées devront faire des échanges de monnaie).

              Sans compter que si je ne connais pas la Corée du Sud, la BCE est une banque nationale indépendante de l'organe exécutif qui régit le continent. Cela n'est pas le cas de tous les pays, loin de là, ce qui a aussi un impact.

              Pour finir, la Corée du Sud est un pays unifié, avec probablement un système bancaire qui s'est développé uniformément avec des pratiques bancaires homogènes. Dans l'UE tu as des dizaines de systèmes bancaires qui ont évolué chacun de son côté, avec les particularités locales légales et sociales qui ont eu un effet sur le choix de l'évolution bancaire de chaque pays.

              Tu te doutes bien qu'un pays comme la France, reine du chèque 2/3 des chèques européens sont français) et de la CB a un système bancaire et des habitudes différents que des pays comme la Belgique ou les pays nordiques qui utilisent le virement de manière généralisée qui eux même ont des différences par rapport un pays comme l'Allemagne qui raffole du liquide.

              Bref, on a des décennies d'évolutions bancaires à harmoniser, c'est long, complexe et cela prend du temps.

              Certes dans les faits, on est plusieurs pays et y a aussi des banques centrales nationales (en Euro). Je ne suis pas en train de dire que c'est à 100% la même situation. Ce sera forcément un peu plus complexe. Mais c'est tout de même très proche et la base que tu cites y est (une seule monnaie et une banque centrale sur la zone complète). C'est entièrement possible.

              Je n'ai jamais dit que c'était impossible, j'ai juste dit que la situation était complexe et que la solution n'était pas triviale.

              Je suis pour le virement instantanée européen (et même mondial), mais je ne trouve pas scandaleux qu'il faille du temps pour remédier aux difficultés.
              La zone SEPA a été une grande avancée qui a mis du temps à s'imposer, fignoler ses défauts restant nécessite un peu de travail et apparemment c'est bien en cours.

              Comme je l'ai dis, j'ai donné l'explication technique et historique à cette solution, pour rappeler que non ce n'est pas si simple que cela, mais cela n'empêche en effet pas d'améliorer la situation.

              Mais les petits échanges sont nombreux et constants dans une journée et vont globalement "s'annuler" mutuellement en permanence comme tu l'expliques. Il n'est absolument pas besoin d'attendre 24h pour cela.

              Je ne suis pas un expert du système bancaire, mais je ne suis pas convaincu que cela soit si simple et vrai.

              En vérité tu as de grosses banques et des petites banques, et si entre grosses banques tu as des mouvements probablement fréquents entre eux, le cas des plus petite peut être plus complexe car plus sensibles aux mouvements de fonds.

              Tu mets aussi de côté qu'il y a des périodes d'activité bancaires asymétriques : les paiements des salaires, la collecte des impôts, les achats de Noël, le paiement de certaines factures et sans doute quelques autres. Ces mouvements qui sont importants en volume peuvent entrainer un grand déséquilibre et une grande activité dans le système bancaire en terme d'échanges alors qu'individuellement les paiements seront petits.

              Aussi en Belgique par exemple, 2 ans de suite, un samedi peu avant Noël le système de paiement par carte bancaire nationale (Bancontact, de Atos Worldwide aussi :D), car l'usage de la carte bancaire dans le pays était trop importante car ici la CB de base fait des autorisations / débits instantanés pour chaque paiement. Un peu comme les SMS du nouvel an à une époque qui saturaient le réseau télécom de la France.

              Il faut donc que le système informatique et l'infrastructure bancaire puisse résister à cela alors qu'il a été longtemps dimensionné pour des traitements par lots quotidiens. Et cela ne se monte pas en une matinée. Car je peux te dire que quand tu fais tes courses ou achats de Noël et que ton paiement ne peut pas être fait, c'est plutôt gênant pour le client comme le commerçant.

              Bref, rien d'impossible, rien d'insurmontable nous sommes d'accord. Mais ce n'est pas trivial, il faut du temps et investir politiquement, financièrement et techniquement pour rendre cela possible. Il ne suffit pas d'un correctif d'une ligne dans l'application bancaire de chaque banque pour résoudre ça (sinon ce serait déjà fait).

          • [^] # Re: Pas assez rapide

            Posté par  (site web personnel) . Évalué à 4.

            Moi je ne suis pas du tout convaincu.

            On arrive à faire des millions micro-transaction boursière en une seconde, voire ne même pas vraiment acheter une action mais récupérer les gains (s'il y a) et on n'est pas capable de faire le change inter-banque en Europe, zone Euro, de manière automatique à la seconde.

            Perso, il n'y a pas de réelle volonté ! Moi, je pense qu'on nous prends un peu pour des cons.

            • [^] # Re: Pas assez rapide

              Posté par  (site web personnel) . Évalué à -2.

              Moi je ne suis pas du tout convaincu.

              Perso je ne suis pas convaincu que tu sais de quoi tu parles avant de dire que tu n'es pas convaincu.

              des millions micro-transaction boursière en une seconde

              Sur le même site, géré par la même entité (la boite qui gère la bourse sur laquelle u fais l'échange, il n'y a pas 2 boites pour la même action qui s'échange), qui "s'auto-compense".
              Pas entre 2 bourses distinctes.

              on n'est pas capable de faire le change inter-banque en Europe, zone Euro, de manière automatique à la seconde.

              Le mot gênant est "inter", qui nécessite plus de travail pour gérer quand ça merde.
              Sans "inter", c'est plus facile hein, Paypal fait dans la micro-seconde la compensation d'un compte vers l'autre depuis 10 ans et ce entre plusieurs devises même, c'est facile, c'est la même entité des 2 côtés; même ma banque tradi arrive à le faire en fait, entre 2 de mes comptes. La difficulté est quand 2 entités distinctes discutent et doivent se faire confiance.

              Tu compares des choses tellement différentes que je ne sais pas quel est ton objectif, à part râler pour le plaisir. Met-toi dans la situation de la banque, quand tu as les 2 comptes dans tes mains est-ce aussi compliqué que quand tu dois discuter avec ton meilleur ennemi qui possède l'autre compte?

              Note que je ne dit pas que c'est impossible (on est même sensé le faire fin d'année), c'est juste plus compliqué que ce que tu veux croire en comparant des choses incomparables, avec des systèmes lourds à gérer et à contrôler, et à supporter des crises de confiance (inexistantes quand la machine du client 1 est la même que la machine du client 2, c'est à dire la machine de la même banque avec les mêmes sous physiques…).

              • [^] # Re: Pas assez rapide

                Posté par  . Évalué à 5.

                C'est surtout compliqué quand on a rien fait depuis des années (décennies?) et qu'on se rend compte qu'il faut mettre en prod dans six mois …

              • [^] # Re: Pas assez rapide

                Posté par  . Évalué à 4.

                même ma banque tradi arrive à le faire en fait, entre 2 de mes comptes.

                Il n'y a pas si longtemps que ça, une banque tradi bien connue (LCL pour ne pas la nommer), n'était même pas capable de déplacer de l'argent d'un Livret Développement Durable vers un compte courant dans la seconde.

              • [^] # Re: Pas assez rapide

                Posté par  (site web personnel) . Évalué à 3. Dernière modification le 17 juin 2017 à 09:49.

                J'avoue ne rien comprendre au fonctionnement d'une banque et lorsqu'on mon banquier m'explique, 1h après, j'ai de nouveau de fort doute. C'est quand même bizarre cette incapacité a être clair pour une grande partie de ses clients.

                On le voit avec l'informatique, les réseaux (qui ne sont pas gratuit), la téléphonie (ou l'Europe est obligé de taper régulièrement du poing), l'équilibrage et la compensation n'est pas obligé d'avoir un délai de plusieurs heures !

                On ne m'enlèvera pas l'idée qu'on ne veut pas faciliter les petits transferts en zone Euro, état fédéral en pratique. Les transfert (des petites sommes) pourrait très bien être instantanée avec une compensation après coup, à la journée, entre banques. Les banques (comme les téléphonistes avant) ne veulent pas et freinent des deux pieds mais la BCE ou équivalent pourrait très bien servir de point central (il me semble qu'en France toutes les transactions sont copié sur un serveur central).

                Bref, qu'il faille du boulot pour faire évoluer les programmes, je n'en ai aucun doute mais que les banques freinent le plus possible pour les petits clients, je n'en ai pas non plus !

                • [^] # Re: Pas assez rapide

                  Posté par  . Évalué à 6.

                  J'avoue ne rien comprendre au fonctionnement d'une banque et lorsqu'on mon banquier m'explique, 1h après, j'ai de nouveau de fort doute.

                  J'ai de forts doutes que ton banquier sache comment une banque fonctionne ;)

                • [^] # Re: Pas assez rapide

                  Posté par  . Évalué à 3.

                  Bref, qu'il faille du boulot pour faire évoluer les programmes, je n'en ai aucun doute mais que les banques freinent le plus possible pour les petits clients, je n'en ai pas non plus !

                  Je pense que tout le monde est d'accord là dessus. C'est actuellement complexe, du fait notamment de l'historique avant Internet partout. Ça pourrait être simplifié mais ce n'est pas forcément dans l'intérêt des banques (bien que je ne vois pas leur intérêt à payer Visa, à part, peut-être se dégager de certaines responsabilité). Du coup, ça stagne. Et vu qu'il faut que toutes les banques bougent. Il ne suffit qu'une seule propose une offre plus rapide, il faut au moins un nombre critique, du coup, c'est bien plus difficile de faire bouger les choses.

                  « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

    • [^] # Re: Aaaaah les virements

      Posté par  . Évalué à 6.

      Normalement il y aura bientôt (fin de cette année) de l'"Instant Payment" en zone SEPA. Dans les faits, les banques s'y prennent apparemment à l'arrache (au moins en France), pour ne pas se faire taper sur les doigts pour retard, ce qui conduit à des systèmes pas conçus pour tenir la charge dans un premier temps. Pour éviter que ça tombe, elles n'en font pas la promotion, et elles ont aussi peur pour la gestion de la fraude (elles ont d'habitude le temps de réfléchir avant la compensation).

      https://www.ecb.europa.eu/paym/retpaym/instant/html/index.en.html

      On this basis, the SCTinst scheme is expected to be developed by November 2016 and implemented by November 2017.

      Pour les curieux et curieuses, au niveau protocolaire, ça va vraisemblablement passé par l'ISO 20022 ("UNIFI"). Il a pour ambition d'unifier tous les protocoles bancaires, comme l'ISO 8583 à ses débuts. https://fr.wikipedia.org/wiki/ISO_20022

    • [^] # Re: Aaaaah les virements

      Posté par  . Évalué à 1.

      en asie oui il y a énormément de paiement moderne, QR code etc. Tellement plus pratique.

      • [^] # Re: Aaaaah les virements

        Posté par  . Évalué à 2.

        Oui mais c'est par ce que ces pays n'avait pas autant de CB qu'en France et en Europe, ils ont totalement sauté l'étape Carte bleue.
        En Afrique il y a beaucoup de paiement mobile parce qu'avant presque personne n'avait de CB.
        L'être humain est toujours réticent au changement : en France on a déjà la Carte bleue, le système fonctionne plutôt bien quoi qu'on en dise. On a déjà une infrastructure pour payer en CB, on ne veut pas forcément réinvestir dans une infrastructure pour paiement mobile.

        Et le virement c'est pas si moderne, ou demander à son banquier d'en faire un mais il faut payer.

  • # Autre cas dans l'actualité

    Posté par  (site web personnel) . Évalué à 7. Dernière modification le 21 juin 2017 à 13:17.

    BNP Paribas avec son .bnpparibas et ses deux serveurs DNS dont un qui n'existe pas et un qui tombe en panne.

    http://www.bortzmeyer.org/panne-dns-bnpparibas.html
    https://www.nextinpact.com/news/104613-bnp-paribas-indisponible-a-cause-dun-probleme-technique-sur-pare-feu.htm

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.