C'était en début de week-end dernier. J'avais besoin d'un peu d'oseille, de flouze, de liquide, de pascals, quoi. Je me suis rendu à la banque la plus proche, et j'ai manqué d'introduire ma Carte Bleue dans un DAB quelconque... Là, j'ai eu comme une hésitation : deux popups en avant-plan de l'interface Microsoft Windows, avec sur la plus lisible des deux ce texte sybillin :

Oui, je sais, c'est flou comme tout, mais j'ai actuellement le plus mauvais photophone jamais proposé par Nokia...

VPN-1 SecureClient
SecureClient n'a pas réussi à communiquer avec le Serveur de Sécurité MNPG_CL_010.250.143.064 à l'adresse 10.250.143.64.

L'adresse IP indique un réseau privatif, mais étant donné qu'il passe par une passerelle VPN, on peut faire “raisonnablement” le pari que les trames s'échangent sur le Grand Internet.

À leur apparition, les distributeurs bancaires bénéficiaient de réseaux d'échanges de donnés privés, dédiés et sécurisés. Mais dans une course folle à la réduction des coûts, depuis une demi-douzaine d'années, les banques sont vite passées à l'ADSL. Un peu trop vite.
Il faut aussi savoir que la plupart des distributeurs qu'on voyait encore récemment étaient des PC faisant tourner le regretté OS/2 (il y a encore deux ans, les bornes de la Caisse d'Épargne nous offraient parfois de jolis messages en mode texte). Mais comme ce dernier ne gère pas une palette supérieure à 256 couleurs, et n'a pas de plugin flash, afin de faire de zolis animations dont on a rien à foutre, les banques sont passées à Microsoft Windows.

Je ne reproche pas à cette banque d'utiliser Microsoft Windows. Après tout, La Poste utilise un patchwork de Flash + MSIE + VBScript pour faire tourner ses distributeurs. Tant que ça passe par un réseau privé, ça me gène pas. Mais de savoir que ce genre de mélange détonnant est branché sur une liaison ADSL, ça me fait mal au bide. Et je crois que ça me fait encore plus mal quand je vois que le distributeur au coin de ma rue me propose, outre la prestation que j'attends de lui, de renouveler des forfaits prépayés mobiles, de louer des DVD, d'acheter le cadeau bonus que me donne droit le nombre de mes points Smile's, de modifier mon abonnement CanalSat, ou encore de modifier l'adresse de mon abonnement à La Dépêche Du Midi... Avouez qu'il y a plus qu'une légère confusion sur l'utilisation attendue de cet automate.

Mais bon, les gens qui gèrent et installent ce genre d'équipement sont totalement compétents, justifient par leurs compétences de leurs émoluments, savent parfaitement ce qu'ils font, maîtrisent complètement leur sujet, installent les défenses idoines, déploient forcément les patches de sécuri... Eh mais... Attendez... j'ai jamais eu d'alerte antivirus en retirant de l'argent, on m'a jamais demandé le mot de passe administrateur pour “monter” le périphérique carte bancaire, et j'ai jamais eu l'irritante bulle d'aide en bas à droite m'indiquant qu'une mise à jour majeure va requérir de rebooter la machine d'ici 30 secondes. Réflexion faite, il semblerait que leurs Microsoft Windows ne sont pas parfaitement paramétrés.

Pour en revenir au gentil petit distributeur bien naïf du début de ce billet, inquiet de ne pouvoir en référer à son tuteur légal, il exhiba ces jolies fenêtres impromptues fièrement affichés jusqu'à Mardi matin, telle une gamine prépubère chantonnant « Les sucettes à l'anis ». Avoir en un seul pop-up affichée ostensiblement autant de détails intimes sur ledit distributeur, et notamment les éléments de base pour tenter une attaque man-in-the-middle est totalement obcène, surtout dans un milieu financier. En comme tous les distributeurs semblent utiliser la même architecture et le même OS, pas franchement réputé de robustesse... y'a de quoi en avoir des frissons.

Finalement, un DAB, c'est comme un gosse qui aurait perdu ses parents, errant dans un centre commercial pendant un samedi des soldes. Je suis sûr qu'avec quelques bonbons, il va gentiment donner son adresse et l'endroit où Papa planque son chéquier.
Charmant bambin.