Émulation de carte hôte
Le fait de protéger un téléphone portable de sorte à pouvoir l’utiliser pour réaliser des transactions de débit ou de crédit à un terminal de point de vente physique représente un défi considérable. Les systèmes de paiement au format carte à bande magnétique ont évolué pour utiliser les cartes à puce EMV et, naturellement, l’étape suivante consistait à utiliser du matériel de sécurité dédié dans la plupart des téléphones. Ce matériel, appelé élément sécurisé, permettait d’héberger l’application de paiement, les identifiants de paiement de l’utilisateur et les clés de chiffrement associées.
Cependant, la transition de cette approche du projet pilote au déploiement de masse s’est avérée difficile pour plusieurs raisons : manque de normalisation des téléphones portables, exigences complexes en matière de certification et, plus important encore, l’hésitation de nombreuses banques à céder le contrôle à un tiers, le TSM (Trusted Service Manager). Dans le modèle de TSM, la banque paie pour « louer de l’espace » sur l’élément sécurisé, généralement contrôlé par un opérateur de téléphonie mobile ou un fabricant de téléphones. Afin de surmonter ces défis, une approche alternative gagne rapidement en popularité : l’émulation de carte hôte. Grâce à l’émulation de carte hôte, les identifiants de paiement cruciaux sont stockés dans un référentiel partagé sécurisé (le centre de données de l’émetteur ou un Cloud privé) plutôt que sur le téléphone. L’utilisation de l’émulation de carte hôte permet de fournir des identifiants à utilisation limitée à l’avance au téléphone afin de pouvoir réaliser des transactions sans contact. Bien que l’émulation de carte hôte élimine la nécessité de recourir à des TSM et redonne le contrôle aux banques, elle s’accompagne d’un ensemble différent de défis en matière de sécurité et de risques.