Cher journal,
Ce matin, au petit réveil, je cours aller vérifier mes comptes. En arrivant sur le site de La Banque Postale, j'ai eu la mauvaise surprise de découvrir un nouveau système pour entrer le code d'identification !!
Et je dois avouer que sûr ce coup là, ils ont fait fort nos facteurs... Système plein de javascript, lent à la réaction, et qui pert toute notion d'accessibilité !!
De plus, sans une souris, même pas la peine d'essayer (adieu lynx et w3m)
Bien évidement, en raleur émérité, je me presse de leur écrire un petit message de remerciement... Le système de contact bog (erreur dans leur page) ! C'est qu'ils onts tout prévu nos cher casquettes...
Donc, dû coup, je me rabat sur toi, cher journal, pour calmer ma hargne matinal.
Évidement, pous tout ceux qui veulent voir à quoi ça ressemble, c'est ici : https://www.labanquepostale.fr/ (le petit cadre gris à droite...)
Je me demande vraiment l'interet de ce système.
Journal La Poste et l'accessibilité !
18
mai
2006
# et oui...
Posté par Ramón Perez (site web personnel) . Évalué à 8.
Non seulement c'est super chiant à utiliser, très contraignant pour beaucoup de personnes, mais c'est surtout totalement inutile !
[^] # Re: et oui...
Posté par Jump3R (site web personnel) . Évalué à 2.
Avec les keyloggers, il etait egalement tres facile de recuperer ces mots de passes. Sous windows, qui sait le nombre de connerie dans ce style qui existent. Maintenant les keyloggers ne servent plus a rien car il faut catcher et analyser les mouvements de la sourie sur un damier de nombre qui changent sans cesse de place entre 2 refresh de la page... bon courage !
Je trouve cette initiative tres bonne au contraire !
[^] # Re: et oui...
Posté par Nicolas S. . Évalué à 2.
Peut être mais l'application laisse à désirer quand même. Pourquoi ne pas avoir le choix d'utiliser autre chose que ce système qui n'est pas utile pour tout le monde.
[^] # Re: et oui...
Posté par Bruno Adele (site web personnel) . Évalué à 10.
J'entendais marmoner ma copine, en train de dire c'est quoi cette calculette pour saisir les mots de passes.
En l'ecoutant marmoner, je regardais de loin (de mon fauteuil) ce quelle bricolé. et à ma grande surprise, j'ai vu son mot de passe, puisse cette fameuse calculette flasher quelque seconde sur chaque touche de la calculette pour confirmer le click.
Donc je confirme, c'est une grosse chiote, et je rajouterais que depuis que l'AJAX(XML+Javascript) fait fureur, l'accessibilité en prend un coup
[^] # Re: et oui...
Posté par Bruno Adele (site web personnel) . Évalué à 3.
Elle ma founit une petite carte qui me permet de completer le mot de passe pour faire des virements externes. donc en gros meme si y'a un pirate qui me trouve le compte il ne pourra rien faire, d'ailleur je vous file mon code: 45782342
[^] # Re: et oui...
Posté par jcs (site web personnel) . Évalué à 2.
C'est quel genre de carte ? Parce qu'il faut distribuer des millers de ces cartes. C'est un coup de doivent supporter les clients de la banque qui utilise l'accès internet à leurs comptes.
[^] # Re: et oui...
Posté par Bruno Adele (site web personnel) . Évalué à 1.
[^] # Re: et oui...
Posté par JereMe . Évalué à 10.
Analyser les mouvements de la souris, ca utilise le meme principe que le keylogger sous windows (hooks). Et faire des screenshots c'est pas le plus dur hein ...
Alors à automatiser, c'est un chouilla + relou (position relative/reconnaissance de caractère sur le damier), mais c'est à la porté de n'importe qui qui sait faire un keylogger. Combien de temps avant que ca soit strictement inutile et que tous les keyloggers aient de base les fonctions qui vont bien ?
Puis bon, heu. Le mec qui va sur internet consulter ses comptes, y a des chances qu'il fasse aussi confiance à internet pour acheter des trucs. Et à partir de là, ben récupérer le n° de carte bancaire sur le site de vente en ligne, ce joli clavier, ca va pas l'empecher, non ?
Alors inutile, inefficace, pseudo sécurité, inaccessiblité, solution temporaire ... que dire de + ?
[^] # Re: et oui...
Posté par Jean-Philippe Garcia Ballester (site web personnel) . Évalué à 9.
Très simple : lorsque le code malveillant détecte l'affichage de la page, par l'url par exemple, il suffit de prendre une capture d'écran et la position du curseur lors d'un clic.
Sous windows, qui sait le nombre de connerie dans ce style qui existent.
Sachant qu'avec le mot de passe d'un compte en banque tu ne peux pas faire grand chose (au moins dans ma banque), je ne suis pas sûr que ce soit vraiment courant.
Un keylogger de numéro de carte bleue est bien plus rentable.
Tu n'as plus de risque d'avoir ton acces a ta banque qui traine un peu partout (cybercafé, boulot avec une machine partagée etc...)
Le mec qui utilise ce système dans un endroit public a plus de chances d'être victime de la subtile attaque dite du "mattage par dessus l'épaule" que de l'attaque d'un keylogger.
Je trouve cette initiative tres bonne au contraire !
Ce n'est pas parce que ce système est moins sécurisé et moins accessible (qu'en pensent les aveugles, les mal-voyants ?), moins pratique, mais qu'il donne une impression de sécurité en utilisant des mots interdits qu'il est meilleur (ou alors il faut vite que j'achète Norton Antivirus !)
[^] # Re: et oui...
Posté par golum . Évalué à 2.
Ah bon!ta banque de permet pas d'effectuer des virements en ligne ?
C'est bien pratique pourtant.
[^] # Re: et oui...
Posté par Jean-Philippe Garcia Ballester (site web personnel) . Évalué à 5.
Pour rajouter un compte, il faut contacter la banque (par téléphone par exemple).
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 3.
N'importe qui peut donc en rajouter aisement.
[^] # Re: et oui...
Posté par Yannick P. . Évalué à 2.
J'ai travaillé sur le développement d'une banque en ligne où l'on proposait TOUT les services possibles (nan, je travaillais pas pour la fameuse banque QUE en ligne qui s'est vautrée).
Je suis d'accord pour dire qu'il est TOUJOURS possible de contourner les sécurités, je suis ok aussi pour dire que c'est contraignant, mais l'idée est plutôt de mettre des batons dans les roues aux vulgaires petits malins moyens (et ils sont nombreux à vue de log) avant que ce soient eux qui n'en mettent dans les roues des clients, et limiter ainsi la casse.
Et à l'époque, le clavier virtuel, au moment de la conception (comprenez 8 mois avant la sortie effective du truc), y'avait pas mieux comme compromis efficacité/facilité d'utilisation.
Vivement la clef "quantique"!
[^] # Re: et oui...
Posté par Régis . Évalué à 2.
Les banques feraient mieux d'informer ou de choisir des solutions efficaces.
[^] # Re: et oui...
Posté par Vincent . Évalué à 1.
[^] # Re: et oui...
Posté par patrick_g (site web personnel) . Évalué à 3.
C'est bien pratique pourtant.
Je viens d'essayer ça pour la première fois pas plus tard qu'avant hier. Moralité si je veux pouvoir faire un virement il faut que je paye un abonnement spécial suppémentaire...donc j'ai préféré envoyer un chèque. Je suis au Crédit Agricole et j'ai été un poil dégouté de découvrir ça.
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 3.
Cependant j'ai effectivement une connerie du genre compte service de 3-6euro par moi pour ca que d'ailleur je ne peut supprimer car liée a un pret etudiant.
[^] # Re: et oui...
Posté par patrick_g (site web personnel) . Évalué à 3.
[^] # Re: et oui...
Posté par fabien . Évalué à 2.
et pourtant je ne paye pas de scandaleux abonnement de 3 ~ 6 euro par mois comme indiqué plus haut.
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 2.
D'ailleurs la methode d'acces aux site n'est pas partout la meme (certains CA sont passé avec le mdp clikable avant le normandie seine)...
Et aussi tu peut deposer les cheques dans une meme region mais hors region je suis pas sur.
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 9.
[^] # Re: et oui...
Posté par tux77 . Évalué à 5.
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 2.
Une solution plus accessible y serait aussi à l'étude.
[^] # Re: et oui...
Posté par Charles-Victor DUCOLLET . Évalué à 1.
Essai un coup, tu vera qu'une petite pause au dessus d'un chiffre le valide.
Sinon, oui, je suis d'accord sur le fait que c'est pas tip-top niveau accessibilité !
[^] # Re: et oui...
Posté par Xavier . Évalué à 2.
C'est un poil plus sécurisé et tant pis si le navigateur garde les infos puisque les numéros sont à usage unique.
Et aussi dans mon ancienne banque, j'avais une espèce de calculette protégé par un code pin sur laquelle il fallait par la suite rentrer un code fourni sur le site qui m'en donnait un autre après avoir mis mon login mot de passe...
Bref leur calvier virtuel, probablement de l'argent dépensé n'importe comment un fois de plus...
[^] # Re: et oui...
Posté par _alex . Évalué à 1.
Je joue à Mountyhall (un jeu en ligne avec des pages HTML). Il y a une extension firefox (et je crois aussi pour IE) qui permet d'ajouter des informations supplémentaire avec du code Javascript
->
en quoi c'est plus dur d'installer un bout de JS qu'un keylogger ?
Après le JS fait bien ce qu'il veut du code...
(perso je trouve que c'est n'importe quoi...)
[^] # Re: et oui...
Posté par Calim' Héros (site web personnel) . Évalué à 2.
Mountybaston?
[^] # Re: et oui...
Posté par BohwaZ (site web personnel, Mastodon) . Évalué à 4.
Et surtout pourquoi ne pas avoir laissé la possibilité pour les utilisateurs normaux (ceux qui n'ont pas de wind^W keylogger) d'utiliser l'ancien système est totalement stupide.
Pour ceux que ça intéresse ils ont pas encore converti la page de gestion de compte de Bagoo.com et visiblement ça marche aussi pour les CCP normaux: https://www.bagoo.com/WebBagoo/MonCompte/MonCompte_enligne.j(...)
Mais j'ai bien l'intention d'engueuler mon banquier pour lui demander pourquoi je paie chaque trimestre pour un service qui non content de fonctionner un jour sur deux et de permettre de faire que dalle, me prends désormais 10 minutes à taper mon mot de passe à chaque fois que je veux consulter mon compte.
Quelqu'un à le nom d'une vraie banque sous la main qui permette de faire pas mal de trucs en ligne? (Genre ne pas avoir à aller dans un guichet pour faire un virement...) Et qui sois pas des voleurs ? (j'en connais certaines qui débitent 1 euro à chaque fois que vous retirez des thunes dans un distributeur qu'appartient pas à la banque...)
Enfin une banque qui gère tes thunes honnêtement quoi...
« Je vois bien à quels excès peut conduire une démocratie d'opinion débridée, je le vis tous les jours. » (Nicolas Sarkozy)
[^] # Re: et oui...
Posté par fmaz fmaz . Évalué à 3.
contraignant, personne ne l'utiliserait.
[^] # Re: et oui...
Posté par Croconux . Évalué à 2.
Pareil pour moi. J'ai voulu aller voir mon compte hier soir et j'ai eu la surprise de trouver cette saloperie qui me demande de passer la souris au dessus des chiffres. Etant donné que mon code était mémorisé, je ne m'en souvenais pas. Il a fallu que je me lance dans une recherche archéologique pour retrouver le minuscule papier qu'ils m'avaient envoyé il y a des lustres. Marche pas. C'est là que je me rappelle que ces connards me l'avaient changé plusieurs fois, mon code. Pour des "raisons de sécurité", il parait. J'ai donc testé tous les codes qu'ils m'ont attribués mais forcément au bout d'un moment j'ai droit à un joli message indiquant que mon compte est bloqué suite à plusieurs échecs. "Merci de contacter la hotline à 0.34 EUR la minute pour le résoudre le problème". Tiens ça me rappelle quelque chose. Il est vrai qu'à une époque la poste a envisagé de devenir FAI, ils ont donc pris les bonnes habitudes du métier. Je crois qu'au lieu d'appeler ce numéro, je vais aller voir mon banquier pour résilier ce service dont je ne peux de toutes façon pas me servir "pour des raisons de sécurité", voire changer de banque "pour des raisons de sécurité".
[^] # Re: et oui...
Posté par julien . Évalué à 1.
Pour ma part à part la cotisation de la carte je n'ai aucun frais.
De plus il y a un mot de passe pour la consultation simple des comptes et un autre mot de passe à saisir pour accèder aux virements.
# L'intérêt de ses inconvénients...
Posté par Cali_Mero . Évalué à -5.
[^] # Re: L'intérêt de ses inconvénients...
Posté par z a . Évalué à 7.
[^] # Re: L'intérêt de ses inconvénients...
Posté par Sylvain Rampacek (site web personnel) . Évalué à 4.
car cliquer sur chaque touche est bien visible !
alors que taper ton code discrètement au clavier est quasi invisible !
en plus, c'est tellement long, que celui qui regarde a en plus le temps de lire ton login (en plus de ton mot de passe). En plus, le login est généralement le numéro de compte, et là, ça fait parti des infos que j'aime pas trop laisser traîner (même si on ne peut pas faire grand chose avec). Franchement, avant, j'allais très vite à me loguer, maintenant, c'est bien trop long ! et donc bien trop longtemps affiché à l'écran !
[^] # Re: L'intérêt de ses inconvénients...
Posté par Snarky . Évalué à 6.
[^] # Re: L'intérêt de ses inconvénients...
Posté par Cali_Mero . Évalué à 0.
[^] # Re: L'intérêt de ses inconvénients...
Posté par Sébastien TeRMiToR . Évalué à 4.
# Sans souris c'est possible
Posté par enzbang (site web personnel) . Évalué à 4.
https://www.labanquepostale.fr/transversal/popups/aide.html
Mais c'est du javascript et c'est pas très pratique. Et puis, s'ils veulent augmenter la sécurité, qu'ils acceptent autre chose que des chiffres pour le mot de passe !
[^] # Re: Sans souris c'est possible
Posté par Aldoo . Évalué à 10.
Ça me rappelle certains messages d'erreur à la windows : "Erreur : clavier non reconnu. Appuyez sur une touche pour continuer.".
[^] # Re: Sans souris c'est possible
Posté par titi toto . Évalué à 2.
[^] # Re: Sans souris c'est possible
Posté par Aldoo . Évalué à 3.
# Greasemonkey save your soul
Posté par Hardy Damien . Évalué à 4.
Dam
# hummm
Posté par Pooly (site web personnel) . Évalué à 3.
[^] # Re: hummm
Posté par Snarky . Évalué à 2.
J'espère qu'aucun facteur ici présent ne m'en voudra :-p
# consternant
Posté par Nicolas Dumoulin (site web personnel) . Évalué à 3.
Si c'est pour offrir un moyen plus sûr à ceux qui consultent sur une machine publique ou peu sûre, pourquoi pas, mais qu'ils laissent accessibles l'ancien système qui marche !
Reste plus qu'à trouver un moyen de contourner l'affaire ... j'ai pas trouvé de formulaire dans le source, zut !
# SMS
Posté par Ririsoft . Évalué à 5.
Ils ont aussi une autre sécurité que je trouve pas mal : chaque fois que tu veux faire une opération importante sur ton compte (virement, inscription d'un nouveau compte pour virement, souscription à un service...) ils t'envoient un SMS sur ton téléphone mobile avec un code secret valable le temps de ta connexion. C'est ce code qu'il faut utiliser pour faire tes opérations "sensibles".
Ainsi une personne malveillante doit, en plus d'avoir ton code d'accès au site, avoir ton téléphone portable.
maintenant je me pose une question : "la violance pour vol augment-elle avec les mesures de sécurité prisent pour s'en protéger ?".
Je m'explique : aujourd'hui pour voler de l'argent à quelqu'un il suffit de le menacer et/ou de le tabasser un peu. Demain, faudra-t-il en plus lui couper le doigt pour avoir ses empreintes digitales... ?
[^] # Re: SMS
Posté par hervé Couvelard . Évalué à 4.
il y avait principalement des vols en entrepôts, puis alarmes et surveillance ->
Vols sur la route (coupe de bache des camions), puis coques durs à la place des baches ->
vols avec agressions physique.
La personne qui parlait expliquait que effectivement augmenter les mesures de sécurités diminuait le vol 'oportuniste', mais professionnalisait le métier avec des methodes plus 'offensive'.
Maintenant, on ne peut pas non plus laisser un faible % de vol facile pour éviter un durcissement des méthodes (enfin, quoi que).
Il y avait aussi un petit 'toucher du doigt' sur l'état de pauvreté d'une partie de la population, ce qui impliquait obligatoirement des actions malveillante, car peu de personnes sont prètes à se laisser crever dans l'indifférence générale, mais c'est un autre (et vaste) sujet.
[^] # Re: SMS
Posté par Sufflope (site web personnel) . Évalué à 2.
Enfin avis personnel, quand on en vient à tirer sur le buraliste pour 500¤ y a pas que le fric qui manque, la morale (l'humanité ?) aussi.
[^] # Re: SMS
Posté par pastro . Évalué à 3.
ca c'est bizzare ya 1-2 ans j'leur ai envoyer un mail parce qu'il y a vait un if( pas ie) then go away() du genre
- ouais c'est pas normal que j 'puisse pas acceder a logitelnet depuis autre chose que windows , j susi un pauvre etudiant qu'a pas de sous pour acheter un licence winwin etc etc , s'il vous plait mettez ca compatible avec autre chose qu'ie .., ya pas de raison que ca marche pas avec mozilla par exemple .. en plus ya des norme qui existe ( w3c.org ) , enfin bref un truc du genre ( avec un ton legerement plus sympatique quand même )
non seulement j 'ai eu une reponse positive, mais en plus en 1,2 mois ca marchait pour mozilla
le serviec technique de la SG n'est plus ce qu'il etait :(
[^] # Re: SMS
Posté par Aldoo . Évalué à 3.
Malgré cela, j'arrivais tout de même à me connecter avec Mozilla grâce à l'extension user agent switcher.
Après ça ils ont ajouté Mozilla... mais c'est toujours le même problème qu'avant : une whitelist de navigateurs autorisés, que les autres aillent voir ailleurs, même s'il suffit de trafiquer le user agent pour que ça marche.
D'un autre côté je les comprends : ça les débarasse des boulets qui utilisent des navigateurs que eux ne connaissent pas et dont ils ne pourraient pas assurer le support technique. Si tu es assez malin pour modifier le user agent, on peut supposer que tu sais utiliser ton browser web.
[^] # Re: SMS
Posté par cxente . Évalué à 3.
Il y a ceux qui n'ont pas de téléphone portable/mobile.
[^] # Re: SMS
Posté par Fanf (site web personnel) . Évalué à 1.
# Systeme inutile, securité a revoir
Posté par Dup (site web personnel) . Évalué à 3.
[^] # Re: Systeme inutile, securité a revoir
Posté par Unchabin . Évalué à 2.
4
2
Annulation
Validation
[^] # Re: Systeme inutile, securité a revoir
Posté par Calim' Héros (site web personnel) . Évalué à 2.
[^] # Re: Systeme inutile, securité a revoir
Posté par Stephen Amar . Évalué à 1.
un vrai de mot de passe à changer obligatoirement tout les 6 mois
# Tout ça à cause de Marcel !
Posté par Beurt . Évalué à -1.
C'est pourri, c'est nul, c'est pas pratique !
Une fois encore on paye parce que MS Windows est une passoire et que ses utilisateurs ne font aucun effort pour la sécurité de leur données.
Je trouve anormal de pénaliser les utilisateurs précautionneux sous prétexte que certains font n'importe quoi avec leur PC et leur compte en banque !
C'est un peu comme si je devais pour chaque utilisation de ma voiture aller chercher mes clefs chez le concessionnaire parce que garder ses clefs est trop dangereux: certains les perdent et on a même Marcel qui les laisse systématiquement sur le comptoir du troquet !
Tant pis pour Marcel !
NB: C'est une précaution qui avait de toute façon peut d'intérêt puisque pour faire un virement vers un compte, il faut le rajouter, ce qui se fait par voie de recommandé à envoyer au centre financier !
# Et pendant ce temps, au Crédit Mutuel...
Posté par Laurent Go . Évalué à 5.
[^] # Re: Et pendant ce temps, en allemagne et suisse
Posté par ham . Évalué à 3.
une liste de numéro aléatoire a utilisation unique. Pour chaque opération le site demande le prochain numéro.
le compte en ligne est bloqué et la liste révoqué si trop d'erreur,
les secrets partagé sur papier c'est vraiment pas dur a mettre en place,
meme qu'il existe un protocol correctement fait pour faire de l'online banking : HBCI (supporté par GNUCash)
Cf
http://www.openhbci.de/
http://linuxwiki.de/HBCI [Allemand]
Au lieu de faire du javascript a la mode, il ferais mieux d'offrir un access HBCI avec les méchanisme de sécurité associé.
[^] # Non merci...
Posté par Zenitram (site web personnel) . Évalué à 1.
Je regarde mes compte partout dans le monde.
Et j'ai deja un CB, un permis de conduire, une Carte d'identité, 56 carte de fidélité etc... Pas envie d'avoir encore un autre papier avec moi, a force je vais devoir amener ma maison sur moi pour pouvoir profiter d'internet partout.
Le systeme de clavier est merdique, me gonfle, mais est bien mieux que d'avoir une carte ou un papier en plus...
# Vraiment naze ce truc
Posté par kirin kirin . Évalué à 2.
ce matin meme reaction.
Ce truc est vraiment nul, en plus c'est tellement long a entrer le code que c'est finalement moins securise.
j'ai ecris pour leur dire que c'etait trop naze.
J'espere qu'a force de recevoir des mels d'insultes ils vont arreter.
A+
# Ancien formulaire
Posté par BohwaZ (site web personnel, Mastodon) . Évalué à 3.
Ceci dit la mention "Cette page est une page d'identification temporaire" n'est pas là pour rassurer... Espérons que ce temporaire restera permanent jusqu'à ce que je change de banque...
« Je vois bien à quels excès peut conduire une démocratie d'opinion débridée, je le vis tous les jours. » (Nicolas Sarkozy)
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.