CA2252001A1

CA2252001A1 - Security access control system enabling automatic invalidation of stolen or lost electronic keys and/or transfer of authorisation to make keys

Info

Publication number: CA2252001A1
Application number: CA002252001A
Authority: CA
Inventors: Marie-Josephe Revillet; Marc Girault; Didier Guerin; Constant Hardy
Original assignee: Individual
Current assignee: Ministere des PTT
Priority date: 1996-04-19
Filing date: 1997-04-15
Publication date: 1997-10-30
Also published as: WO1997040473A1; EP0956540A1; AU2643397A; FR2747813A1; FR2747813B1; JP2000509451A; AU724882B2

Abstract

A security access control system comprises a portable storage medium (C) on which is registered an electronic key (CL) including user identification data, the key being provided by a production means (LE), and a means ensuring an electronic locking function (L) to authorise access when the storage medium comprises the required electronic key. According to the invention, a logic key (CL) comprises its own data D¿P?A and its signature S and is registered in the lock (L) when it is first used. When a user loses the medium (C) on which is registered this key (CL), a new key (CL') is registered on another medium and the registration of this new key in the lock overwrites the previous key (CL). To transfer authorisation to make new keys (CL) from one production means (LE) to another, a new public key (K') and the signature (CER) of this key are loaded into it. This invention is useful in the management of buildings.

Description

CA 022~2001 1998-10-14 SYSTEME SÉCURISÉ DE CONTROLE D'ACCES PERMETTANT
L'INVALIDATION AUTOMATIQUE DE CLÉS ÉLECTRONIQUES VOLÉES
OU PERDUES ET/OU LE TRANSFERT D'HABILITATION A PRODUIRE
DES CLÉS.

La présente invention se rapporte à un système sécurisé de contrôle d'accès permettant l'invalidation automatique des clés logiques volées ou perdues et/ou le transfert d'habilitation à produire des clés.
L'invention s'applique tout particulièrement au domaine du contrôle d'accès à des bâtiments, à des systèmes informatiques ou à toutes sortes d'objets dont l'ouverture ou l'utilisation doit être contrôlée.
on connait de la demande PCT/FRgS/00935 publiée sous le numéro W096/02899, un système de contrôle d'accès limités à des plages horaires autorisées et renouvelables.
Ce système repose sur l'utilisation de supports de mémorisation portables tels que des cartes à puce (cartes à circuits intégrés) à contacts affleurants ou sans contacts, des cartes magnétiques, des badges, des clés électroniques à contact ou sans contact. Ces supports sont distribués à tous les utilisateurs pour qui l'accès sera autorisé.
Pour cela, les supports de mémorisation possèdent en mémoire une clé électronique donnant un droit d'accès.
Cette clé comprend une donnée correspondant à une période d'autorisation d'accès et une signature numérique de cette donnée. La période d'utilisation correspond en pratique à une date d'utilisation et à
une plage horaire d'utilisation si bien que la clé
n'est valable que pendant un jour et pour la plage - horaire définie.

CA 022~2001 1998-10-14 W~97/40473 2 PCTA~7/00676 Ces clés ont une durée de vie courte et sont particulièrement bien adaptées à une application telle que la distribution ou le ramassage du courrier par un préposé. L'utilisateur d'un tel support doit tous le jours recharger son support avec une nouvelle clé
valable.
Le problème du vol ou de la perte d'un support d'information comportant une telle clé ne se pose plus puisque la durée de vie de la clé logique est éphémère.
La personne qui a trouvé ou volé le support ne pourra plus l'utiliser le lendemain. Il n'est de ce fait même plus utile de tenir une liste noire de tous les supports volés ou perdus.
Ce système de contrôle d'accès est très efficace dans des applications pour lesquelles on ne désire pas donner un droit d'accès permanent ou de très longue durée. En revanche, il s'avère ne pas être adapté dans le cas contraire.
Des systèmes de contrôle plus anciens proposent la tenue d'une liste noire pour les support volés ou perdus afin d'empêcher que les personnes non autorisées qui détiennent de tels supports ne puissent pas accéder à l'ensemble protégé.
La tenue de telles listes nécessite lne intervention auprès des serrures électroniques. Il faut en effet enregistrer sur les serrures les numéros d'identification des supports volés ou perdus après que leur titulaire en ait fait la déclaration. Ces interventions sont contraignantes.
La présente invention a pour objet de résoudre ce problème.
Le système sécurisé de contrôle d'accès proposé
permet l'invalidation automatique des clés déclarées perdues ou volées.

CA 022~2001 1998-10-14 W097/40473 3 PCT~R97/00676 En effet selon l'invention, il n'y aucune intervention particulière à effectuer auprès des serrures électroniques. Ce sont les supports des utilisateurs qui vont permettre d'effectuer automatiquement une invalidation des supports volés ou perdus.
D'autre part, dans le cas où une personne ayant une habilitation à produire des clés électroniques et à les enregistrer sur les supports de mémorisation, se voit retirer cette habilitation (dans le cas des droits d'accès à un immeuble, il s'agit par exemple du changement de syndic ou du gestionnaire de l'immeuble), le transfert d'habilitation à une autre personne, impose de donner à tous les utilisateurs qui avaient des droits d'accès, de nouveaux supports sur lesquels les clés électroniques sont calculées avec le moyen de production de clé qui détient la nouvelle habilitation.
Ceci est une contrainte qui entraîne des frais importants.
Le système sécurisé de contrôle d'accès selon l'invention permet de résoudre également ce problème, les supports délivrés restent toujours valables même en cas de transfert d'habilitation à une autre personne ou plus exactement à un autre moyen de production de clés.
L'invention à plus particulièrement pour objet un système de contrôle d'accès au moyen d'un support de mémorisation portable (C) sur lequel est enregistrée une clé électronique (CL) incluant une donnée d'identification de l'utilisateur, et un moyen assurant une fonction de serrure électronique ~L) apte à
autoriser l'accès dans le cas où le support de mémorisation comporte la clé électronique requise, principalement caractérisé en ce que :
-CA 022~2001 1998-10-14 W097/40473 4 PCT~7/00676 - la clé électronique comporte en outre une donnée propre DpA à l'utilisateur et au support, et la signature numérique S de ces données, - ces données sont enregistrées dans la serrure à
la première utilisation du support, - on produit une nouvelle clé électronique et on enregistre cette clé sur un autre support de mémorisation pour ce meme utilisateur dans le cas de perte ou de vol du support précédent, avec une nouvelle donnée propre ayant une valeur supérieure à la précédente et invalidant. la prédédente, - à chaque utilisation du support, la serrure (L) vérifie la signature numérique S et vérifie que la donnée propre DpA de la clé CL du support est égale ou supérieure à la donnée déjà enregistrée et n'autorise l'accès que lorsque ces conditions sont réalisées.
Selon une autre caractéristique, la signature S est calculée à partir d'un algorithme à clé secrète k et d'une clé publique K correspondante par des moyens de production LE, la serrure possède en mémoire la clé
publique K, une fonction de vérification VK de cette signature S et des moyens pour mettre en oeuvre cette fonction de vérification.
Selon une autre caractéristique, pour vérifier une donnée propre DpA à un utilisateur, la serrure :
- compare la donnée propre DpA présente sur le support, à la donnée déjà enregistrée lors de la première utilisation pour cet utilisateur, et - enregistre cette donnée à la place de la donnée déjà enregistrée lorsque sa valeur est supérieure à la donnée déjà enregistrée.
-CA 022~200l l998-l0-l4 W097/40473 5 PCT~R97/00676 La donnée propre DpA à un utilisateur peut etre la date de personnalisation de son support de mémorisation.
La donnée propre DpA peut etre une valeur obtenue par un compteur, cette valeur étant incrémentée à
chaque nouvelle version de clé pour un utilisateur donné.
Ces opérations permettent de mettre à jour de façon automatique la délivrance d'un nouveau support à un utilisateur par l'enregistrement dans la serrure de la nouvelle donnée du support propre à l'utilisateur~ en remplacement de la précédente.
Lorsque l'on personnalise un nouveau support pour un utilisateur donné, la donnée propre DpA (date de personnalisation) a une valeur supérieure à la précédente.
La clé électronique CL enregistrée sur un support comporte également une donnée identifiant ce support, ou prendra par exemple comme donnée le numéro de série de fabrication du support.
Pour augmenter la sécurité, la serrure électronique comporte une donnée correspondant à une valeur de référence DH; l'autorisation d'accès n'est donnée que si en outre, la donnée propre DpA à l'utilisateur a une valeur inférieure à la valeur de référence DH.
La donnée de référence DH est la date courante fournie par une horloge interne de la serrure électronique.
Selon une autre caractéristique de l'invention, les moyens de production comportent une information ~ d'habilitation HA donnée par une autorité pour produire les clés CL, incluant une clé publique K, et la - signature numérique CER de cette information; et on opère un transfert d'habilitation à de nouveaux moyens CA 022~200l l998-l0-l4 W097/40473 6 PCTn~7/00676 de production en enregistrant une nouvelle clé
publique K' et la signature correspondante CER'.
La serrure vérifie toute nouvelle habilitation.
A cette fin toute nouvelle clé publique est enregistrée dans la serrure électronique pour la vérification avec son certificat qui ne sera pas en principe conservé.
Selon une autre caractéristique, les données relatives aux moyens de production comportent une donnée d'identification ID, une période de validité VAL
et la clé publique K, la période de validité affectée à
l'ancienne clé K ayant une date de fin qui correspond à
la date de début de validité de la période de validité
de la nouvelle clé K', cette date pouvant lui être postérieure (soit par exemple de un mois).
Selon une autre caractéristique, pour la vérification d'une nouvelle version de clé K' de signature CER', la serrure compare et remplace la date de fin de période de validité de l'ancienne clé par la date de début de validité de la clé suivante.
Avantageusement, lors d'une vérification d'une clé
électronique CL, la serrure réalise en outre les étapes suivantes :
- comparer la date de personnalisation DpA à la période de validité VAL de la clé publique K qui a été
utilisée, - autoriser l'accès dans le cas où cette date est dans la période de validité de cette clé, et refuser l'accès dans le cas contraire.
Les clés publiques K, K' sont obtenues par l'autorité à partir d'une fonction de production FKA à
clé publique KA, avec une clé secrète ka. La serrure comporte en mémoire au moment de la vérification une -CA 022~2001 1998-10-14 W097/40473 7 PCT~R97/00676 fonction de vérification VKA et la clé KA pour la vérification des signatures CER ou CER'.
L'invention à également pour objet, un système de contrôle d'accès au moyen d'un support de mémorisation portable C sur lequel est enregistrée une clé
électronique CL, des moyens de production de ces clés électroniques et un moyen assurant une fonction de serrure électronique L apte à autoriser l'accès dans le cas où le support de mémorisation comporte la clé
électronique requise, selon lequel les moyens de production comportent une information d'habilitation HA
à produire les clés CL, incluant une clé publique K, et la signature numérique CER de cette information, et dans lequel on opère un transfert d'habilitation à de nouveaux moyens de production en enregistrant une nouvelle clé publique K' et la signature correspondante CER'. Cette nouvelle clé publique est, après vérification de l'habilitation, enregistrée dans la serrure électronique L qui vérifie les clés CL
produites par ces moyens LE.
Selon une autre caractéristique les données relatives aux moyens de production comportent une données d'identification ID, une durée de validité VAL
et la clé publique K; la durée de validité affectée à
une nouvelle clé K' a une date de départ qui correspond à la date de fin de validité de la période de validité
de la clé précédente K.
Avantageusement, pour la vérification d'une nouvelle version de clé publique de signature CER', la serrure compare la date de début de période de validité
de la nouvelle clé à la date de fin de validité de la clé précédente.
~ Les clés pu~liques sont obtenues par l'autorité à
partir d'une fonction de production FKA à clé

CA 022~200l l998-l0-l4 W097/40473 8 PCT~R97/00676 publique KA, avec une clé secrète ka, la serrure comportant en mémoire au moment de la vérification une fonction de vérification VKA et la clé KA pour la vérification de ces signatures CER ou CER'.
Ainsi, lorsqu'un nouveau moyen de production est en service, ce moyen est déclaré auprès de la serrure qui va contrôler les clés produites par ce moyen.
Pour cela, l'autorité enregistre le certificat d'habilitation auprès de la serrure et la clé KA
qu'elle a utilisé pour le calcul. Le moyen de production peut lui-même enregistrer son habilitation auprès de la serrure.
Les supports dont les clés ont été produites de manière frauduleuse par des moyens qui ne sont plus habilités, ne permettent pas l'accès aux ensembles protégés.
En effet, le transfert d'habilitation est réalisé
par chargement sécurisé d'une nouvelle clé publique auprès de la serrure.
Les clés publiques précédentes sont en principe conservées à moins que l'algorithme de production ait été cassé ou la clé secrète du couple clé secrète, clé
publique ait été découverte.

D'autres avantages et particularités de l'invention appara~tront à la lecture de la description suivante qui est faite à titre indicatif et non limitatif et en regard des dessins sur lesquels:
- la figure 1, représente un système de contrôle d'accès sécurisé selon un premier objet de l'invention, - la figure 2, représente un système de contrôle d'accès sécurisé selon un deuxième objet de l'invention.

CA 022~200l l998-l0-l4 W097/40473 9 PCTn~7/00676 Il est précisé que l'on entend par autorité un organisme possédant des clés secrètes, des moyens aptes à délivrer des clés publiques et des données d'habilitation.
On entend par clé secrète, une donnée numérique qui n'est connue que d'un organe de l'autorité ou d'un moyen de production.
on entend par clé publique KA, K, K' une donnée numérique partagée par plusieurs utilisateurs à savoir, l'autorité et les moyens de production des clés électroniques ou les moyens de production et la serrure électronique.
On entend par moyens de production LE de clés un appareil de traitement d'informations numériques, par exemple un microodinateur, détenant une information d'habilitation ~A et ayant des moyens de calcul pour réaliser la signature numérique de données mettant en oeuvre des fonctions telles qu'un algorithme à clé
publique classique.
On entend par clé électronique ou clé logique C~, une donnée numérique ou plusieurs données numériques accompagnées de leur signature numérique donnant droit à un accès.

L'invention est décrite à titre d'exemple, dans l'application à la gestion d'accès à des immeubles.
On pourra se reporter au schéma de la figure 1 pour mieux comprendre.
Les supports de mémorisation C comprenant les clés électroniques distribuées à des utilisateurs autorisés pourront etre soit des cartes à puce, soit des clés à
puce, soit des badges ou cartes magnétiques. La transmission entre le support C et la serrure L peut etre faite à travers des contacts électroniques ou par CA 022~2001 1998-10-14 W097/40473 10 PCT~R97/00676 des moyens radio-électriques ou par la lecture d'une bande magnétique.
A titre d'exemple, on a choisi comme support une carte à puce.
Elle comporte une interface d'entrée-sortie I/O 100 et une mémoire non volatile inscriptible électriquement 101.
Dans l'exemple décrit, la personnalisation d'un support C consiste en particulier à inscrire en mémoire une information d'identification IDA de l'utilisateur A
comportant par exemple son nom, le numéro de son appartement et la donnée propre DpA qui lui est affectée. Il s'agit selon un exemple préféré de réalisation de la date de personnalisation de son support de mémorisation.
On inscrit aussi en mémoire une information identifiant le support, il s'agit par exemple du numéro de série NS de fabrication du support. En général, cette information est entrée à la fin de la fabrication, avant de remettre le support à
l'autorite AT.
La personnalisation des supports est faite par l'appareil LE (et la personne qui l'utilise) qui détient une habilitation HA (ID, KA, CER, K).
L'appareil de production LE es par exemple réalisé
par un microordinateur de type PC, muni d'un lecteur de cartes.
Le schéma de la figure 1, représente schématiquement les différents blocs fonctionnels de cet appareil LE.
L'appareil de production LE comporte une unité de traitement de type microprocesseur 200 relié par un bus 201 à des mémoires. Une mémoire volatile travail de type RAM 202 contient les données de l'application.

CA 022~2001 1998-10-14 Une mémoire non volatile de type EEPROM comporte en zone protégée la clé secrète k utilisée pour la production des clés électroniques. Elle comporte en outre le programme de production de clés électroniques.
Ce programme met en oeuvre un algorithme de production de type algorithme à clé publique FK utilisant la clé
secrète k et la clé publique K correspondante.
La mémoire 203 comporte en outre le programme de personnalisation qui consiste à écrire la donnée propre, c'est-à-dire selon le mode préféré de réalisation la date DpA du jour de personnalisation (plus l'heure éventuellement). Cette information est obtenue à partir d'une horloge interne 204.
La donnée propre peut également être obtenue par un compteur 206 dont la valeur est augmentée (incrémentée de 1 par exemple) à chaque nouvelle version de clé.
L'exécution de ces programmes est lancée par la personne habilitée au moyen du clavier 205.
Selon un autre aspect de l'invention, la mémoire volatile 203, peut contenir également la clé
publique KA et le certificat d'habilitation CER.
En effet, un appareil de production LE doit être habilité à produire des clés CL. L'habilitation lui est reprise par l'autorité AT.
En pratique, l'autorité lui donne une clé
publique K qui va lui servir dans le calcul des clés CL. Cependant, la clé K lui est transmise avec une signature que l'on appelle ici certificat CER.
Ce certificat CER est donc la signature numérique d'un ensemble de données incluant l'identité de la personne habilitée ID, sa clé publique K et la période de validité VAL tel que :
CER = FKA (ID, VAL, K), CA 022~2001 1998-10-14 W097/40473 12 PCT~R97/00676 FKA étant l'algorithme à clé publique, ka étant la clé secrète de calcul du certificat et KA la clé publique correspondante. Ce calcul est fait par l'autorité AT.
Les serrures électroniques CL sont constituées par un appareil de type lecteur de cartes à puce ou microordinateur équipé d'une interface lecteur de cartes à puce pour l'exemple de réalisation décrit.
La serrure L comporte une unité de traitement 300, une mémoire non volatile 301 électriquement programmable et une mémoire de travail 302. La mémoire 301 comprend le programme de vérification des clés mettant en oeuvre une fonction de vérification VK
des clés électroniques CL.
Cette mémoire 301 contient également la clé
publique K correspondant à la clé secrète k qui été
utilisée pour la production des clés CL.
La serrure L permet, selon un premier objet de l'invention, de détecter de fausses clés électroniques.
Pour cela, la serrure compare la date de personnalisation DpA de la clé CL à la date de personnalisation qu'elle a en mémoire pour le même support (identification IDA).
S'il y a égalité, la serrure autorise l'accès. Si la date DpA > à la date de personnalisation présente dans la serrure, alors il s'agit d'une nouvelle version de clé, la serrure met à jour sa liste de clés, c'est-à-dire qu'elle enregistre la nouvelle date de personnalisation à la place de l'ancienne.
Si la date DpA < à la date de personnalisation présente dans la serrure, alors il s'agit d'une réutilisation d'une clé déclarée volée ou perdue.
L'accès est interdit. Il n'y a pas de mise à jour de la liste des clés.

CA 022~2001 1998-10-14 V~D97/40473 13 PCT~R97/00676 Lorsque l'on affecte une habilitation HA le couple clé publique et certificat CER de l'appareil LE de production des clés ainsi que la clé KA sont enregistrés dans la serrure en mémoire de travail par exemple, pour permettre à la serrure d'effectuer une vérification de l'habilitation.
Cette vérification est faite à chaque nouvelle habilitation. Pour cela la serrure contient aussi le programme de vérification du certificat, ce programme mettant en oeuvre une fonction de vérification VKA du certificat. A l'issue de cette vérification, si le certificat correspond bien à la clé publique K la clé
est enregistrée en mémoire EEPROM, le certificat et la clé KA ne sont pas conservés.
Lorsqu'un changement d'habilitation à lieu, un certificat CER' pour une nouvelle clé K' est calculé
par l'autorité AT et chargé dans l'appareil LE, on pourra se reporter pour la suite au schéma de la figure CA 022 ~ 2001 1998-10-14 SECURE ACCESS CONTROL SYSTEM ALLOWING
AUTOMATIC INVALIDATION OF STOLEN ELECTRONIC KEYS
OR LOST AND / OR THE TRANSFER OF AUTHORIZATION TO PRODUCE
KEYS.

The present invention relates to a system secure access control allowing invalidation automatic stolen or lost logical keys and / or transfer of authorization to produce keys.
The invention is particularly applicable to area of access control to buildings, computer systems or all kinds of objects including opening or use must be controlled.
we know from published PCT / FRgS / 00935 under the number W096 / 02899, a control system access limited to authorized time slots and renewable.
This system is based on the use of portable storage such as smart cards (integrated circuit cards) with flush contacts or without contacts, magnetic cards, badges, electronic contact or contactless keys. These supports are distributed to all users for who will be granted access.
For this, the storage media have in memory an electronic key giving a right access.
This key includes data corresponding to a access authorization period and signature numeric of this data. The period of use corresponds in practice to a date of use and to a time slot for use so that the key only valid for one day and for the beach - defined schedule.

CA 022 ~ 2001 1998-10-14 W ~ 97/40473 2 PCTA ~ 7/00676 These keys have a short lifespan and are particularly well suited to an application such that delivering or picking up mail by a attendant. The user of such a medium must all days reload its support with a new key valid.
The problem of theft or loss of support with such a key no longer arises since the lifetime of the logical key is ephemeral.
The person who found or stole the media does not will no longer be able to use it the next day. It is not makes it even more useful to keep a blacklist of all stolen or lost media.
This access control system is very effective in applications for which we do not want give a right of permanent or very long access duration. However, it turns out not to be suitable in the opposite case.
Older control systems offer the blacklisting for stolen media or lost to prevent unauthorized people who hold such media cannot access to the whole protected.
Keeping such lists requires intervention with electronic locks. It is necessary in fact save the numbers on the locks to identify media stolen or lost after their holder has made the declaration. These interventions are binding.
The object of the present invention is to resolve this problem.
The secure access control system offered allows automatic invalidation of declared keys lost or stolen.

CA 022 ~ 2001 1998-10-14 W097 / 40473 3 PCT ~ R97 / 00676 Indeed according to the invention, there is no specific intervention to be carried out with electronic locks. These are the supports of users who will allow to perform automatically invalidate stolen media or lost.
On the other hand, in the case where a person with a authorization to produce electronic keys and to save on storage media, can be seen withdraw this authorization (in the case of rights access to a building, for example the change of trustee or manager of the building), transfer of authorization to another person, requires giving all users who had access rights, new media on which electronic keys are calculated using production of key which holds the new authorization.
This is a constraint which entails costs important.
The secure access control system according to the invention also solves this problem, the media delivered are still valid even in transfer of authorization to another person or more precisely to another means of producing keys.
A more particular subject of the invention is an access control system by means of a support portable storage (C) on which is saved an electronic key (CL) including data of user identification, and a means ensuring an electronic lock function ~ L) suitable for authorize access in the event that the memorization includes the required electronic key, mainly characterized in that:
-CA 022 ~ 2001 1998-10-14 W097 / 40473 4 PCT ~ 7/00676 - the electronic key also includes data user and support specific DpA, and digital signature S of this data, - these data are stored in the lock at the first use of the support, - we produce a new electronic key and we save this key on another medium memorization for this same user in the case loss or theft of the previous medium, with a new own data having a value higher than the previous one and invalidating. the previous, - each time the support is used, the lock (L) verify digital signature S and verify that the clean data DpA of the key CL of the support is equal to or greater than the data already recorded and only allows access when these conditions are carried out.
According to another characteristic, the signature S is computed from a secret key algorithm k and a corresponding public key K by means of LE production, the lock has the key in memory public K, a VK verification function of this signature S and means to implement this verification function.
According to another characteristic, to verify a DpA's own data for a user, the lock:
- compare the DpA own data present on the support, to the data already recorded during the first use for this user, and - save this data in place of the data already saved when its value is greater to the data already recorded.
-CA 022 ~ 200l l998-l0-l4 W097 / 40473 5 PCT ~ R97 / 00676 The DpA data specific to a user can be the date of personalization of its support memorization.
The own data DpA can be a value obtained by a counter, this value being incremented to each new key version for a user given.
These operations are used to update automatic delivery of a new medium to a user by registering in the lock of the new user-specific support data ~ en replacing the previous one.
When you customize a new support for a given user, the DpA own data (date of personalization) has a value greater than the previous.
The CL electronic key recorded on a medium also includes data identifying this medium, or take for example as serial number of the support.
To increase security, the electronic lock contains data corresponding to a value of DH reference; access authorization is only given if in addition, the DpA data specific to the user has a value lower than the DH reference value.
The DH reference data is the current date provided by an internal clock of the lock electronic.
According to another characteristic of the invention, the means of production include information ~ HA authorization given by an authority to produce the keys CL, including a public key K, and the - CER digital signature of this information; and we operates a transfer of authorization to new means CA 022 ~ 200l l998-l0-l4 W097 / 40473 6 PCTn ~ 7/00676 production by registering a new key public K 'and the corresponding signature CER'.
The lock checks any new authorization.
For this purpose any new public key is registered in the electronic lock for the verification with his certificate which will not be in principle retained.
According to another characteristic, the data relating to the means of production include a identification data ID, a validity period VAL
and the public key K, the validity period assigned to the old key K having an end date which corresponds to the start date of the validity period of the new key K ', this date being able to be posterior (i.e. for one month).
According to another characteristic, for the verification of a new version of key K 'of CER 'signature, the lock compares and replaces the date end of validity period of the old key by the start date of validity of the next key.
Advantageously, during a verification of a key electronic CL, the lock also performs the steps following:
- compare the DpA personalization date with the validity period VAL of the public key K which has been used, - authorize access if this date is within the validity period of this key, and refuse access otherwise.
The public keys K, K 'are obtained by authority from an FKA production function to public key KA, with a secret key ka. The lock has in memory at the time of verification a -CA 022 ~ 2001 1998-10-14 W097 / 40473 7 PCT ~ R97 / 00676 VKA verification function and KA key for verification of CER or CER 'signatures.
The invention also relates to a system of access control by means of a storage medium portable C on which a key is stored CL electronics, means of producing these keys electronic and a means ensuring a function of electronic lock L suitable for authorizing access to the case where the storage medium contains the key required electronics, whereby the means of production include HA authorization information producing the keys CL, including a public key K, and the CER digital signature of this information, and in which we operate a transfer of authorization to new means of production by recording a new public key K 'and the corresponding signature CER '. This new public key is, after verification of authorization, recorded in the electronic lock L which checks the keys CL
produced by these LE means.
According to another characteristic, the data relating to the means of production include a identification data ID, VAL validity period and the public key K; the period of validity assigned to a new key K 'has a departure date which corresponds on the expiry date of the validity period of the previous key K.
Advantageously, for the verification of a new version of CER 'public signing key, the lock compares the start date of the validity period of the new key on the expiry date of the previous key.
~ Public keys are obtained by the authority at from a key FKA production function CA 022 ~ 200l l998-l0-l4 W097 / 40473 8 PCT ~ R97 / 00676 public KA, with a secret key ka, the lock containing in memory at the time of verification a VKA verification function and KA key for verification of these CER or CER signatures'.
Thus, when a new means of production is in service, this means is declared to the lock which will check the keys produced by this means.
For this, the authority registers the certificate authorization with the lock and key KA
that she used for the calculation. Way to production can register its authorization itself near the lock.
Media whose keys were produced from fraudulently by means that are no longer enabled, do not allow access to sets protected.
Indeed, the transfer of authorization is carried out by secure loading of a new public key near the lock.
The previous public keys are in principle kept unless the production algorithm has been broken or the couple's secret key secret key, key has been discovered.

Other advantages and features of the invention will appear on reading the following description which is made as an indication and not limiting and in look at the drawings in which:
- Figure 1 shows a control system secure access according to a first object of the invention, - Figure 2 shows a control system secure access according to a second object of the invention.

CA 022 ~ 200l l998-l0-l4 W097 / 40473 9 PCTn ~ 7/00676 It is specified that an authority means a organization with secret keys, suitable means to issue public keys and data empowerment.
By secret key is meant digital data which is known only to an organ of authority or a means of production.
by public key KA, K, K 'is understood a data digital shared by several users, the authority and the means of production of the keys electronics or the means of production and the lock electronic.
By means of LE key production means a digital information processing apparatus, for example example a micro computer, holding information ~ A and having computing means for digital signature of data performs functions such as a key algorithm classic public.
By electronic key or logical key C ~, one digital data or several digital data accompanied by their digital signature giving entitlement to an access.

The invention is described by way of example in application to the management of access to buildings.
We can refer to the diagram in Figure 1 for better understand.
Storage media C including keys distributed to authorized users could be either smart cards or keys to chip, either badges or magnetic cards. The transmission between support C and lock L can be made through electronic contacts or by CA 022 ~ 2001 1998-10-14 W097 / 40473 10 PCT ~ R97 / 00676 radio means or by reading a magnetic tape.
For example, we have chosen as support a Smartcard.
It has an I / O 100 input-output interface and a writable non-volatile memory electrically 101.
In the example described, the customization of a support C consists in particular of writing in memory IDA identification information for user A
including for example his name, his number apartment and its own DpA data affected. According to a preferred example, realization of the date of personalization of his storage medium.
We also write information identifying the medium, for example the number NS series of support manufacturing. In general, this information is entered at the end of the manufacturing, before giving the support to AT authority.
The customization of the supports is made by the LE device (and the person using it) who holds an HA accreditation (ID, KA, CER, K).
The LE production device is for example produced by a PC type microcomputer, equipped with a reader cards.
The diagram in Figure 1 represents schematically the different functional blocks of this LE device.
The LE production device includes a microprocessor type 200 processing connected by a bus 201 to memories. A volatile working memory of type RAM 202 contains the application data.

CA 022 ~ 2001 1998-10-14 An EEPROM type non-volatile memory includes protected area the secret key k used for the production of electronic keys. It includes in addition to the electronic key production program.
This program implements a production algorithm FK public key algorithm type using the key secret k and the corresponding public key K.
The memory 203 also comprises the program for personalization which consists in writing the data clean, that is to say according to the preferred mode of completion of the DpA date of the personalization day (plus time if applicable). This information is obtained from an internal clock 204.
Own data can also be obtained by a counter 206 whose value is increased (incremented of 1 for example) with each new version of key.
The execution of these programs is initiated by the authorized person using the keyboard 205.
According to another aspect of the invention, memory volatile 203, can also contain the key public KA and CER certification.
Indeed, an LE production device must be authorized to produce CL keys. Empowerment is taken over by the AT authority.
In practice, the authority gives him a key public K which will serve him in the calculation of CL keys. However, the key K is transmitted to it with a signature here called CER certificate.
This CER certificate is therefore the digital signature a set of data including the identity of the authorized person ID, their public key K and the period VAL validity such as:
CER = FKA (ID, VAL, K), CA 022 ~ 2001 1998-10-14 W097 / 40473 12 PCT ~ R97 / 00676 FKA being the public key algorithm, ka being the secret key for calculating the certificate and KA the corresponding public key. This calculation is done by the AT authority.
CL electronic locks are made up of a smart card reader type device or microcomputer equipped with a reader interface smart cards for the example of embodiment described.
The lock L comprises a processing unit 300, a non-volatile memory 301 electrically programmable and a working memory 302. The memory 301 includes the program for checking the keys implementing a VK verification function CL electronic keys.
This memory 301 also contains the key public K corresponding to the secret key k which has been used for the production of CL keys.
The lock L allows, according to a first object to the invention, to detect false electronic keys.
For this, the lock compares the date of DpA personalization of the CL key on the date of personalization that she has in memory for the same support (IDA identification).
If there is a tie, the lock allows access. Yes the date DpA> on the date of personalization present in the lock, then this is a new version key, the lock updates its list of keys, that is, it records the new date of customization in place of the old.
If the DpA date <on the personalization date present in the lock, then this is a reuse of a key declared stolen or lost.
Access is prohibited. There is no update from the list of keys.

CA 022 ~ 2001 1998-10-14 V ~ D97 / 40473 13 PCT ~ R97 / 00676 When assigning HA clearance the couple LE device public key and CER certificate production of the keys as well as the KA key are stored in the lock in working memory by example, to allow the lock to perform a verification of authorization.
This verification is done with each new empowerment. For this, the lock also contains the certificate verification program, this program implementing a VKA verification function of the certificate. After this verification, if the certificate matches the public key K the key is saved in EEPROM memory, the certificate and the KA key is not kept.
When a change of authorization takes place, a CER 'certificate for a new K key' is calculated by the AT authority and loaded into the LE device, will be able to refer for the continuation to the diagram of the figure

2.
Ainsi conformément à un deuxième objet de l'invention, ce changement d'habilitation consiste à
utiliser une nouvelle clé publique K' et à affecter cette nouvelle clé K' à l'appareil.
Des clés électroniques CL calculées par l' appareil qui avaient l'ancienne clé publique K seront toujours valables ainsi que les nouvelles qui sont produites par un appareil qui a la clé K', dès l'instant où la serrure a vérifié cette nouvelle habilitation.
On choisit la durée de validité affectée à la clé K
pour qu'elle ait une date de fin de validité égale à la date de début de la période de validité affectée à la clé K' ou une date légèrement postérieure (un mois par exemple) -CA 022~2001 1998-10-14 W097/40473 14 PCT~7/00676 Dans le cas où un appareil de production LE a une donnée d'habilitation HA (ID, KA, CER, K) qu'il s'agisse d'une première habilitation ou d'une nouvelle habilitation, et dans le cas où les clé produites CL
(S, DpA, IDA) ont une donnée propre telle que la date de personnalisation du support sur lequel elles sont enregistrées, la serrure pourra vérifier les conditions d'accès énoncées dans la première partie de la description et en outre comparer la date DpA à la période de validité de la clé publique de l'appareil.
Cette comparaison va permettre par exemple de déceler les clés CL qui auraient été produites alors que l'appareil de production LE n'avait plus l'habilitation.
En effet, les dates de personnalisations DpA
tombent obligatoirement soit dans l'une, soit dans l'autre des périodes de validité VAL ou VAL' des clés K
ou K'.
Dans chaque cas, la serrure pourra alors comparer la date de personnalisation à la période de validité de la clé publique correspondante. La serrure autorise l'accès lorsque, à l'issue de cette vérification, elle trouve que la date DpA est à l'intérieur de la période de validité de la clé publique correspondante.
Comme chaque clé publique K ou K' a une période de validité qui lui est propre, il est facile de détecter la fraude. 2.
So according to a second object of the invention, this change in empowerment consists in use a new public key K 'and to assign this new key K 'to the device.
CL electronic keys calculated by the device who had the old public key K will still be valid as well as the news that is produced by a device that has the key K ', from the moment the lock has verified this new authorization.
We choose the validity period assigned to the key K
so that it has an expiry date equal to the start date of the validity period assigned to the key K 'or a slightly later date (one month per example) -CA 022 ~ 2001 1998-10-14 W097 / 40473 14 PCT ~ 7/00676 If an LE production device has a HA authorization data (ID, KA, CER, K) that this is a first authorization or a new one authorization, and in the case where the keys produced CL
(S, DpA, IDA) have their own data such as the date customization of the support on which they are registered, the lock will be able to check the conditions of access set out in the first part of the description and further compare the DpA date to the validity period of the device's public key.
This comparison will allow for example detect the CL keys that would have been produced then that the LE production device no longer had empowerment.
Indeed, the DpA customization dates necessarily fall either in one or in the other of the validity periods VAL or VAL 'of the keys K
or K '.
In each case, the lock can then compare the date of personalization to the period of validity of the corresponding public key. The lock allows access when, after this verification, it finds that the DpA date is within the period of validity of the corresponding public key.
As each public key K or K 'has a period of its own validity, it's easy to detect fraud.

Claims

1. Access control system by means of a portable storage medium (C) on which is registered an electronic key CL including data identification of the user, and a means ensuring an electronic lock function (L) able to authorize access in the event that the support of memorization includes the required electronic key, characterized in that:
- the CL electronic key also includes a DpA data specific to the user and the support, and the digital signature S of this data, - these data are stored in the lock at the first use of the medium, - a new electronic key CL' is produced and this key is recorded on a new support of memorization for this same user in the case loss or theft of the previous medium, with a new proper datum D p A' having a value greater than the previous one and invalidating the previous, - each time the support is used, the lock (L) verifies the digital signature S and verifies that the specific DpA data of the CL key of the medium is equal to or greater than the data already recorded and authorizes access only when these conditions are carried out.

2. Access control system according to the claim 1, characterized in that the signature S
is calculated from a secret key algorithm k and a corresponding public key K by means production LE, and in that the lock has in memory the public key K, a verification function (VK) of this signature S and the means to put in implements this verification function.

3. Access control system according to claim 1 or 2, characterized in that for check data specific to a DpA user, the lock :
- compares the specific data D p A present on the support, to the data already recorded during the first use for this user, and - saves this data instead of the data already recorded when its value is higher to the data already recorded.

4. Access control system according to one any of the preceding claims, characterized in that the specific datum (D p A) assigned to the support of a user A is the personalization date of its storage medium.

5. Access control system according to one any of the preceding claims, characterized in that the proper datum is a value obtained by a counter (206), this value being incremented at each new key version for a user given.

6. Access control system according to one any of the preceding claims, characterized in that the electronic lock (L) comprises a reference value (DH), and in that the authorization of access is given only if in addition the own datum D p A

to a support has a value less than the value of reference.

7. Access control system according to one any of the preceding claims, characterized in that the DH reference datum is the date current provided by an internal clock (303) of the electronic lock.

8. Access control system according to the claim 2, characterized in that the means of production include HA authorization information given by an authority to produce CL keys, including an identification data ID, a key public K, a validity period VAL and the signature digital CER of this key, and in that one operates a transfer of authorization to new means of productions by registering a new key public K' and the corresponding signature CER'.

9. Access control system according to claim 8, characterized in that the period of validity assigned to the old key K has an end date which corresponds to the start date of validity of the period of validity of the new key K' or which is posterior.

10. Access control system according to claim 8 and 9, characterized in that for the verification of a new version of key K' of signature CER', the lock uses a function of public key verification, additionally the lock compares and replaces the expiry date of the previous key by the validity start date of the new key.

11. Access control system according to one any of the preceding claims, characterized in that during a verification of a key CL electronics, the lock also performs the following operations:
- compare the date of personalization D p A with the validity period VAL of the public key authorization K that was used, - authorize access if this date is within the validity period of this key, and refuse access otherwise.

12. Access control system according to one any of the preceding claims, characterized in that the public keys are obtained by authority from a production function F KA to public key KA, the lock comprising in memory at the time of the verification of an authorization, a V KA verification function and KA key.