EP0700021B1 - Procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques - Google Patents

Procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques Download PDF

Info

Publication number
EP0700021B1
EP0700021B1 EP95401980A EP95401980A EP0700021B1 EP 0700021 B1 EP0700021 B1 EP 0700021B1 EP 95401980 A EP95401980 A EP 95401980A EP 95401980 A EP95401980 A EP 95401980A EP 0700021 B1 EP0700021 B1 EP 0700021B1
Authority
EP
European Patent Office
Prior art keywords
machine
centre
memory
data
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Lifetime
Application number
EP95401980A
Other languages
German (de)
English (en)
Other versions
EP0700021A1 (fr
Inventor
Jean-Philippe Bailleux
Claude Martin
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
SECAP Groupe Pitney Bowes SAS
Original Assignee
Secap SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Secap SA filed Critical Secap SA
Publication of EP0700021A1 publication Critical patent/EP0700021A1/fr
Application granted granted Critical
Publication of EP0700021B1 publication Critical patent/EP0700021B1/fr
Anticipated expiration legal-status Critical
Expired - Lifetime legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00016—Relations between apparatus, e.g. franking machine at customer or apparatus at post office, in a franking system
    • G07B17/0008—Communication details outside or between apparatus
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00016—Relations between apparatus, e.g. franking machine at customer or apparatus at post office, in a franking system
    • G07B17/0008—Communication details outside or between apparatus
    • G07B2017/00153—Communication details outside or between apparatus for sending information
    • G07B2017/00161—Communication details outside or between apparatus for sending information from a central, non-user location, e.g. for updating rates or software, or for refilling funds
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00016—Relations between apparatus, e.g. franking machine at customer or apparatus at post office, in a franking system
    • G07B17/0008—Communication details outside or between apparatus
    • G07B2017/00153—Communication details outside or between apparatus for sending information
    • G07B2017/00177—Communication details outside or between apparatus for sending information from a portable device, e.g. a card or a PCMCIA
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07B—TICKET-ISSUING APPARATUS; FARE-REGISTERING APPARATUS; FRANKING APPARATUS
    • G07B17/00—Franking apparatus
    • G07B17/00733—Cryptography or similar special procedures in a franking system
    • G07B2017/00822—Cryptography or similar special procedures in a franking system including unique details

Definitions

  • the invention relates to franking machines which fall under a control center computerized.
  • the franking machines have different counters, usually at least one counter says ascending whose value, with each impression of a postage, is increased by the amount thereof, and a so-called downward counter whose value is decreased by amount of postage, the value of the ascending counter representing the sum total of postage printed by the machine since its commissioning while the value of the descending counter indicates the credit no still consumed since the last reloading of the machine in monetary units.
  • the aim of the invention is to enable the transmission information with the same degree of security, but more economical way.
  • the invention takes advantage of the fact that computerized control centers and franking electronics are already provided with means of protection against fraud, and in particular secure, that is to say, protected access, in a way that allows the transmission to benefit from these securities already existing, instead of providing security additional information specific to transmission, as in previous systems mentioned above.
  • the invention thus makes it possible to avoid the costs associated with to these additional security.
  • we use portable objects and means of inscription and reading of their memory which are particularly simple and economical because the inscription and the reading of the memory are entirely free.
  • the authentication means that comprise the data sent is the secret number, that is to say a element even secret information stored in memory secure.
  • the indexes associated with this number avoids its reuse, this which is necessary since the number may have been revealed to one-third, since the portable object is reading free.
  • the machine is assigned a single value of meter reloading, which it takes every time she reloads her meter.
  • the means of authentication of the transmitted data that form the cryptogram is here not directly a secret information element but it can not be obtained only by access to the appropriate secret digital key.
  • the data with which is calculated cryptogram can be characters listed in the information given, or else, particularly in the case where the information provided involves relatively few characters, the data with which the cryptogram is calculated are randomly generated characters, which are also written in the memory of the portable object.
  • the center 1 shown on this last figure includes a computer set consisting of a computer server 2 to which three management computers are connected 3 to each of which is connected a card reader / encoder 4 chip and a printer 5 labels, a modem 6 directly connected to the computer 2 being connected to a line telephone 7 which is dedicated to him.
  • the franking machine 8 shown in particular on Figures 2 and 4 conventionally comprises a plate 9 of the object on which the postage must be printed by a head 10 located above the plate 9, and various other usual elements not shown, in particular a keyboard and a scale, as well as internal circuits of control and management controlled by a microcontroller equipped a known type of franking management software, corresponding for example to that described in the application for French patent 93-04694 belonging to the Applicant.
  • the machine 8 has a connector 11 through which we have access to its internal circuits, in order to perform an operation initialization by connecting these circuits to the computers of the center 1 thanks to the cable 12, one end of which has a connector 13 adapted to cooperate with the connector 11, the other end of the cable 12 being directly connected to one computers from center 1, when the initialization operation on the spot, or through a line secure data transmission when the operation is performed remotely.
  • connector 11 is masked by a tamper-proof protective envelope.
  • the machine 8 has other elements, described below, which allow it to cooperate with the chip card 14 shown in FIG.
  • this card has a format of the non volatile memory type, rewritable, like EEPROM, or equivalent.
  • This microcircuit does not include no logical input protection, which means that the Read and write data are completely free on the map 14.
  • the card 14 presents a hole 16 practiced in its thickness, this hole being covered in some cases, mentioned below, by a label printed with one of the printers 5 in center 1, that sticks to the location shown in Figure 3 by the frame 17 in broken line.
  • the machine postage 8 has an element 18 for housing the card 14, which opens outwards through a slot 19, the housing 18 being associated, as shown in FIG. 5, with a two-part connector 20 that goes into action when the card is pushed to the bottom, and an electromagnet 21 equipped with a plunger 22 ending in a point (see Figure 6), the plunger 22 being provided, when actuated, to pass through the hole 16 of the card 14, and thus to perforate at the level of the hole 16 the label 23 possibly stuck on map 14 at location 17.
  • the microcontroller piloting the management and control circuits of the machine 8 is also equipped with additional software that allows this same microcontroller to manage the various operations related to the transmission of information carried out through Map 14, which operations will now be described.
  • Machine 8 is secretly assigned a set of different random numbers, for example 250 numbers of ten decimal digits, we record in the center folder the number of the machine and the series of 250 numbers, and this same data is transmitted to the machine 8, which saves them automatically on permanent memories (non-volatile), each number being associated, whether in the center file or in the machine's memories, an index that can take at least the zero and one states, and which is at this point in the zero state.
  • permanent memories non-volatile
  • the file part of the 250 random numbers secrets is saved securely in the center 1, so that even during maintenance operations, the unauthorized persons can not access it.
  • the machine 8 When the initialization operation is complete, the machine 8 is enclosed in its envelope of security, which is itself sealed with a tamper-proof seal, and the machine is ready for commissioning.
  • the machine 8 Once the machine 8 has been installed in the where it is to be used, it must, in order to function, receive via card 14 a reloading instruction from his descending counter, which is zero.
  • This instruction is actually given by the receiving one of the 250 numbers contained in the registers memories of machine 8, provided that it has not already been used.
  • issuing card 14 containing the instruction authorizing reloading of the downward counter is provided by the center 1.
  • the center when asked for permission, by mail or telephone, uses one of the readers / encoders 4 to write in the memory of a card 14 a certain amount of information intended to designate the machine for which it is intended, particular number of this machine, as well as one of the secret numbers, not yet used (index to zero), among the 250 that are assigned to this machine, the index of the number transmitted being then set to one to show that it was used.
  • a label 23 is printed in clear with data identification of the machine to which is intended the authorization, and that label, when map 14 was coded, is glued to location 17 where it closes the opening 16, this label being made with an impression background which makes it possible to recognize its origin and limits the risks of having it replaced with fraudulent intent.
  • the center 1 After having prepared map 14, the center 1 send it, for example by a porter or by mail, to the site where machine 8 is located, and when arrives at this site, we introduce the card 14 in the housing 18, the connectors 20 are activated when the card is fully pressed, the data on the map are read and communicated to the internal circuits of the machine, these check whether the identification number in the data that has just been received correspond to the identification number which has been assigned to him in the initialization, if it is the case, the circuits control the electromagnet 21 for the plunger 22 to descend then goes back, that is to say to make it pass from his rest position where it is outside the reception area of the card 14 which opens outwards through the slot 19, to an actuated position where it passes through this space, then at the rest position, so that it punches the label 23 at hole 16, the circuits look for if the number in the data that has just been read part of the secret numbers kept in his registers of memory, and if the machine finds this number associated with a index in the zero state, it puts it
  • the reload value can of course vary from one machine to another, with regard to consumption foreseeable or any other consideration, but for a given machine, it can not be changed remotely.
  • the machine in the initialization phase, provides for several sets of different random numbers to each of which corresponds to a distinct value of reloading the meter, the machine, when charging counter, taking into account the value corresponding to the series which includes the secret number it comes from to receive.
  • the same method for other meters controlling the use of the machine for example to allow the machine to operate for a predetermined period of time, or to authorize to operate until the ascending counter has reaches a calculated value by adding the reload value to the value that this meter had at the time the reloading took place.
  • the meter reloading can not occur, after initialization, a number of times corresponding to the amount of secret numbers attributed during the initialization phase, which is 250 in the this example. In case the machine still has to be used, a new operation must be carried out initializing.
  • the center 1 which is the transmitter of the information to be transmitted, and the machine 8 who is the recipient or receiver, but it is also possible to have the machine 8 as transmitter and the center 1 as a recipient, in particular to transmit to this last an ascending meter reading or other data stored in the machine 8, for example statistics of use of the various franking units, the machine 8 transmitting the data to the center 1 for example in response to an order written by the center on the map in same time as the meter reload instruction.
  • the calculation of the authentication cryptogram is done by the electronic circuits machine 8, the algorithm being contained in the additional software which is provided with the microcontroller, this algorithm being for example of the DES type.
  • the ability to make machine 8 send back data in center 1 can in particular be used to proceed, on command, as indicated above, to the statement of upward counter, in order to bill machines according to their actual consumption.
  • a card is issued by the center and sent to the organization responsible for maintenance. This card is numbered machine to check, and a deadline to proceed to the verification. A technician must then go to the machine, insert the card into it, which will indicate the requested information on the state of said machine. The evidence of the intervention will be given by the return of the map in the center 1.
  • the transmitter at authenticate either the center 1. In this case, if it has no data to be transmitted or if they are insufficient in number, it generates a series of characters randomly it calculates on the basis of these the cryptogram, and it inscribes both the series of characters and the cryptogram, this one being checked on arrival by machine 8.
  • the terminal 24 includes in a single housing at least one reader / encoder 25 smart card, the same kind as the reader / encoder 4 of center 1 or that which is provided in the machines 8 and which has a housing 18 for the card.
  • reader / encoder 25 the terminal 24 has circuits control logic as well as a modem, and possibly as in the example shown in Figure 7, a keyboard 26 and a screen 27.
  • the control logic circuits are sensitive to the introduction of a card in the reader / encoder 25, recognize the type of card introduced and verify that the card contains the appropriate credentials. According to the information read on the map (see below), the control circuits can start the execution of a reading operation of the card, a write operation, or call automatically center 1 by means of the modem to request a transaction, transmit information to or from the center.
  • the card machine-specific who needs it is introduced in this last, the card being recognized, the machine 8 will record on the map 14 that is his own, and in particular the value of some of its meters, as well as the use cryptogram.
  • the user then removes the card from the machine, and introduces it into the terminal.
  • This one recognizes the map, and calls the center through its modem, communication through the public telephone network 7 and the modem 6 of center 1, the data transmitted being those are recorded in the memory of the map 14.
  • center 1 After receiving the data, center 1 checks the authenticity of these thanks to the cryptogram, and if all the conditions are fulfilled, he sends back a message containing the data to be entered on the map for build a meter reload instruction, and especially one of the 250 numbers still valid.
  • the user retrieves the terminal card and insert it back into the machine, which performs the same operations described above until reloading counter, some data that can be written on the map for the process to reproduce when it will be at new need to request a new instruction from meter reloading.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Devices For Checking Fares Or Tickets At Control Points (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Description

L'invention a trait aux machines à affranchir électroniques qui relèvent d'un centre de contrôle informatisé.
On sait que les machines à affranchir comportent différents compteurs, en général au moins un compteur dit ascendant dont la valeur, à chaque impression d'un affranchissement, est augmentée du montant de celui-ci, et un compteur dit descendant dont la valeur est diminuée du montant de l'affranchissement, la valeur du compteur ascendant représentant la somme totale des affranchissements imprimés par la machine depuis sa mise en service tandis que la valeur du compteur descendant indique le crédit non encore consommé depuis le dernier rechargement de la machine en unités monétaires.
On a déjà proposé de nombreuses méthodes pour permettre au centre de contrôle, lorsqu'il a vérifié que les conditions requises sont remplies, de transmettre à la machine concernée une instruction de rechargement de son compteur descendant.
On connaít notamment par GB-A-2 251 210 et par EP-A-0 390 731 des systèmes pour, respectivement, transmettre une instruction de déblocage d'une machine à affranchir à post-paiement et une instruction de rechargement d'une machine à pré-paiement, grâce à un nombre ou à un code unique attendu par la machine destinataire.
Plus généralement, il existe divers systèmes permettant non seulement la transmission d'une instruction de rechargement de compteur du centre à l'une des machines, mais aussi la transmission de relevés de compteur entre cette machine et le centre. L'un de ces systèmes prévoit de munir chacune des machines d'un modem, le dialogue entre la machine et le centre se faisant par le réseau téléphonique public grâce à des messages sécurisés dans les deux sens. Un autre système, connu notamment par EP-A-0 328 057, prévoit l'utilisation d'un objet portatif à mémoire de données protégée par une couche logique d'accès, objet qu'on transporte entre le centre et la machine.
Ces systèmes donnent à l'heure actuelle toute satisfaction, notamment en ce qui concerne la protection contre les fraudes au rechargement de compteurs, puisque l'accès aux informations transmises entre le centre et la machine est interdit respectivement par la sécurisation de la transmission sur le réseau téléphonique public, ou par la couche logique de protection d'accès de l'objet portatif.
L'invention vise à permettre la transmission d'informations avec le même degré de sécurité, mais d'une façon plus économique.
Elle propose à cet effet un procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques, au moins afin que le centre puisse transmettre à chaque dite machine une instruction de rechargement de compteur, procédé dans lequel on inscrit ou on lit les données respectivement à émettre et à recevoir dans une mémoire d'un objet portatif qu'on transporte entre un moyen d'inscription des données à émettre et un moyen de lecture des données à recevoir, avec un dit moyen d'inscription commandé par le centre et un dit moyen de lecture prévu dans chaque machine à affranchir ; caractérisé
  • en ce qu'on conserve, pour chaque machine de ladite pluralité de machines, à la fois dans une mémoire sécurisée dudit centre et dans une mémoire sécurisée de cette machine, une pluralité d'unités d'informations secrètes chacune accessible par ledit centre et par cette machine pour toute future transmission d'informations dudit centre à cette machine ; et
  • en ce que, pour transmettre dudit centre à une machine déterminée de ladite pluralité de machine, des informations à protéger de la fraude telles que ladite instruction de rechargement :
    • on utilise un objet portatif comportant une mémoire où l'inscription et la lecture des données sont libres,
    • on sélectionne dans ledit centre une unité d'informations parmi ladite pluralité d'unités d'informations secrètes conservées pour ladite machine déterminée,
    • on inscrit, avec ledit moyen d'inscription commandé par le centre, dans ladite mémoire dudit objet portatif, des données comportant un moyen d'authentification adapté à ne pouvoir être préparé et vérifié que si on connaít ladite unité d'informations secrètes sélectionnée dans ledit centre, et comportant un moyen pour faire connaítre à ladite machine déterminée cette unité d'informations secrètes,
    • on transporte ledit objet jusqu'à ladite machine déterminée,
    • on lit lesdites données dans ladite mémoire dudit objet portable, avec un moyen de lecture prévu dans ladite machine déterminée, et
    • on ne prend en compte lesdites données dans ladite machine déterminée qu'après vérification dudit moyen d'authentification, chaque dite vérification étant adaptée à être pratiquée avec l'une quelconque desdites unités d'informations secrètes.
On voit que l'invention tire parti du fait que les centres de contrôle informatisés et les machines à affranchir électroniques sont déjà munis de moyens de protection contre les fraudes, et notamment de mémoires sécurisés, c'est-à-dire à accès protégé, d'une façon qui permet à la transmission de bénéficier de ces sécurités d'accès déjà existantes, au lieu de prévoir des sécurités supplémentaires propres à la transmission comme dans les systèmes antérieurs précités.
L'invention permet donc d'éviter les coûts liés à ces sécurités supplémentaires. En particulier, sur le plan du matériel, on utilise des objets portatifs et des moyens d'inscription et de lecture de leur mémoire qui sont particulièrement simples et économiques du fait que l'inscription et la lecture de la mémoire sont entièrement libres.
Selon des caractéristiques préférées de l'invention :
  • à la mise en service de chaque dite machine à affranchir, on réalise une phase d'initialisation dans laquelle on lui attribue de manière secrète un ensemble de nombres aléatoires différents qu'on charge à la fois dans une mémoire sécurisée du centre et dans une mémoire sécurisée de la machine, chaque nombre secret y étant conservé en association avec un index à deux états mis alors dans un premier état ;
  • pour transmettre une instruction de rechargement de compteur à destination de cette machine, le centre lit dans sa dite mémoire sécurisée l'un des nombres secrets attribués à cette machine et dont l'index est dans le premier état, il met dans le deuxième état l'index associé au nombre secret lu, et il inscrit dans la mémoire d'un dit objet portatif ledit nombre secret lu ; et
  • lorsqu'une machine à affranchir détecte la présence d'un objet portatif dans son moyen de lecture, elle fait celui-ci lire la mémoire de l'objet, elle recherche si le nombre figurant dans les données qu'elle vient de recevoir fait partie des nombres secrets conservés dans sa mémoire sécurisée, et si elle y trouve ce nombre associé à un index dans le premier état, elle met l'index dans le deuxième état, et elle recharge son compteur.
Ainsi, le moyen d'authentification que comportent les données émises est le nombre secret, c'est-à-dire un élément même des informations secrètes conservées en mémoire sécurisée.
Le fait de faire passer dans le deuxième état les index associés à ce nombre permet d'éviter son réemploi, ce qui est nécessaire puisque le nombre peut avoir été révélé à un tiers, étant donné que l'objet portatif est à lecture libre.
De préférence, pour des raisons de simplicité, dans ladite phase d'initialisation, on affecte à la machine une valeur unique de rechargement de compteur, qu'elle prend en compte à chaque fois qu'elle recharge son compteur.
Selon une variante plus élaborée, dans ladite phase d'initialisation, on prévoit plusieurs séries de nombres aléatoires différents à chacune desquelles correspond une valeur distincte de rechargement de compteur, la machine, lorsqu'elle recharge son compteur, prenant en compte la valeur correspondant à la série dont fait partie le nombre secret qu'elle vient de recevoir.
Selon d'autres caractéristiques préférées :
  • à la mise en service de chaque dite machine à affranchir, on réalise une phase d'initialisation dans laquelle on lui donne un jeu de clefs numériques secrètes pour un algorithme adapté à produire un cryptogramme à partir de données et d'une telle clef numérique, et on charge ces clefs à la fois dans une mémoire sécurisée du centre et dans une mémoire sécurisée de la machine ;
  • pour authentifier l'origine d'informations émises par le centre ou par ladite machine, on choisit l'une desdites clefs numériques secrètes, l'émetteur de l'information calcule un cryptogramme avec cette clef, il inscrit dans la mémoire d'un dit objet portatif l'information à transmettre ainsi que le cryptogramme, et lorsque le destinataire de l'information détecte la présence d'un objet portatif dans son moyen de lecture, il fait celui-ci lire la mémoire de l'objet, il calcule un cryptogramme avec la même clef, il compare le cryptogramme figurant dans les données reçues avec celui qu'il a calculé, et ne considère les informations comme authentiques que si le cryptogramme reçu et le cryptogramme calculé se correspondent.
Le moyen d'authentification des données transmises que forme le cryptogramme n'est ici pas directement un élément des informations secrètes, mais il ne peut être obtenu que par accès à la clef numérique secrète adéquate.
L'utilisation d'un tel moyen d'authentification convient par exemple particulièrement bien pour authentifier des relevés de compteurs d'une machine, sur la base desquels son utilisateur sera facturé.
Dans un tel cas, les données avec lesquelles est calculé le cryptogramme peuvent être des caractères figurant dans les informations émises, ou alors, notamment dans le cas où les informations émises comportent relativement peu de caractères, les données avec lesquelles le cryptogramme est calculé sont des caractères générés de façon aléatoire, qu'on inscrit également dans la mémoire de l'objet portatif.
L'exposé de l'invention sera maintenant poursuivi par la description d'un exemple de réalisation donnée ci-après à titre illustratif et non limitatif, en référence aux dessins annexés, sur lesquels :
  • la figure 1 montre de façon schématique un centre de contrôle informatisé ayant la responsabilité d'un ensemble de machines à affranchir électroniques, avec lesquelles il communique conformément à l'invention ;
  • la figure 2 est une vue schématique en perspective d'une de ces machines à affranchir, montrée dans une phase d'initialisation ;
  • la figure 3 est une vue en plan de la carte à puce qu'on utilise pour transmettre les informations ;
  • la figure 4 est une autre vue en perspective de la machine à affranchir illustrée sur la figure 2, montrant la partie externe de son lecteur/encodeur de carte à puce ;
  • la figure 5 est une perspective montrant, en agrandissement par rapport à la figure 4, le logement du lecteur/encodeur de carte et certains éléments qui lui sont associés ;
  • la figure 6 est une vue partielle en élévation-coupe suivant le plan repéré VI-VI sur la figure 5 ; et
  • la figure 7 est une vue schématique en perspective illustrant de façon schématique un terminal télématique pouvant être relié par le réseau téléphonique au centre de contrôle montré sur la figure 1.
Le centre 1 montré sur cette dernière figure, comporte un ensemble informatique composé d'un ordinateur serveur 2 auquel sont reliés trois ordinateurs de gestion 3 à chacun desquels est connecté un lecteur/encodeur 4 de carte à puce ainsi qu'une imprimante 5 d'étiquettes, un modem 6 directement relié à l'ordinateur 2 étant connecté à une ligne téléphonique 7 qui lui est dédiée.
La machine à affranchir 8 montrée notamment sur les figures 2 et 4, comporte de façon classique un plateau 9 de guidage de l'objet sur lequel l'affranchissement doit être imprimé par une tête 10 située au-dessus de la plaque 9, et divers autres éléments habituels non représentés, notamment un clavier et une balance, ainsi que des circuits internes de commande et de gestion pilotés par un microcontrôleur muni d'un logiciel de gestion des affranchissements de type connu, correspondant par exemple à celui décrit dans la demande de brevet français 93-04694 appartenant à la Demanderesse.
En outre de ces éléments classiques, la machine 8 comporte un connecteur 11 par l'intermédiaire duquel on a accès à ses circuits internes, afin d'effectuer une opération d'initialisation en reliant ces circuits aux ordinateurs du centre 1 grâce au câble 12 dont une extrémité comporte un connecteur 13 adapté à coopérer avec le connecteur 11, l'autre extrémité du câble 12 étant directement reliée à l'un des ordinateurs du centre 1, lorsque l'opération d'initilisation s'effectue sur place, ou par l'intermédiaire d'une ligne de transmission de données sécurisée lorsque l'opération est effectuée à distance. En service normal, le connecteur 11 est masqué par une enveloppe de protection inviolable.
La machine 8 comporte encore d'autres éléments, décrits plus loin, qui lui permettent de coopérer avec la carte à puce 14 montrée sur la figure 3.
Le format de cette carte, son connecteur 15 ainsi que l'emplacement de celui-ci sont conformes à ceux normalisés par l'ISO. Elle est équipée d'un microcircuit (non représenté) du type mémoire RAM non volatile, réinscriptible, du genre EEPROM, ou équivalent. Ce microcircuit ne comporte aucune protection logique d'entrée, ce qui veut dire que la lecture et l'inscription de données sont entièrement libres sur la carte 14.
Au droit du connecteur 15, la carte 14 présente un trou 16 pratiqué dans son épaisseur, ce trou étant recouvert dans certains cas, mentionnés ci-après, par une étiquette imprimée avec l'une des imprimantes 5 du centre 1, qu'on colle à l'emplacement matérialisé sur la figure 3 par le cadre 17 en trait interrompu.
Comme montré sur les figures 4 à 6, la machine à affranchir 8 comporte un élément 18 de logement de la carte 14, qui s'ouvre vers l'extérieur par une fente 19, le logement 18 étant associé, comme montré sur la figure 5, à un connecteur 20 en deux parties qui entre en action lorsque la carte est poussée à fond, et un électro-aimant 21 muni d'un plongeur 22 se terminant en pointe (voir figure 6), le plongeur 22 étant prévu, lorsqu'il est actionné, pour passer au travers du trou 16 de la carte 14, et donc pour perforer au niveau du trou 16 l'étiquette 23 éventuellement collée sur la carte 14 à l'emplacement 17.
En outre du logiciel de gestion des affranchissements de type classique mentionné ci-dessus, le microcontrôleur pilotant les circuits de gestion et de commande de la machine 8 est également muni d'un logiciel additionnel qui permet à ce même microcontrôleur de gérer les diverses opérations en rapport avec la transmission d'informations effectuée par l'intermédiaire de la carte 14, opérations qui vont maintenant être décrites.
Pour initialiser la machine 8, on ouvre dans les ordinateurs du centre 1 un dossier qui comporte les références d'un utilisateur dûment répertorié et autorisé à utiliser la machine, et on procède comme indiqué précédemment pour relier un ordinateur du centre 1 au connecteur 11.
On attribue à la machine 8, de manière secrète, un ensemble de nombres aléatoires différents, par exemple 250 nombres de dix chiffres décimaux, on enregistre dans le dossier du centre le numéro de la machine et la série de 250 nombres, et on transmet ces mêmes données à la machine 8, qui les enregistre automatiquement sur des mémoires permanentes (non volatiles), chaque nombre étant associé, que ce soit dans le dossier du centre ou dans les mémoires de la machine, à un index qui peut prendre au moins les états zéro et un, et qui est mis à ce stade à l'état zéro.
La partie fichier des 250 nombres aléatoires secrets est enregistrée de façon sécurisée dans le centre 1, de façon que même lors d'opérations de maintenance, les personnes non autorisées ne puissent y avoir accès.
Au cours de l'initialisation, on enregistre également, dans le dossier du centre et dans la machine 8, une valeur dont le compteur descendant de la machine doit se recharger lorsque cette dernière reçoit du centre une instruction de rechargement.
Lorsque l'opération d'initialisation est terminée, la machine 8 est renfermée dans son enveloppe de sécurité, qui est elle-même scellée avec un sceau inviolable, et la machine est prête à être mise en service.
Un fois que la machine 8 a été installée dans le site où elle doit être utilisée, il lui faut, pour fonctionner, recevoir via la carte 14 une instruction de rechargement de son compteur descendant, qui est à zéro.
Cette instruction est en fait donnée par la réception d'un des 250 nombres contenus dans les registres mémoires de la machine 8, à condition qu'il n'ait pas déjà été utilisé.
Dans le mode de réalisation des figures 1 à 6, l'émission de la carte 14 contenant l'instruction autorisant le rechargement du compteur descendant, est assurée par le centre 1.
Pour cela, lorsqu'on lui demande une autorisation, par courrier ou par téléphone, le centre, après vérification que les conditions requises sont remplies (versements de fonds effectués, ou toute autre condition), utilise l'un des lecteurs/encodeurs 4 pour inscrire dans la mémoire d'une carte 14 un certain nombre d'informations destinées à désigner la machine à laquelle elle est destinée, notamment le numéro de cette machine, ainsi que l'un des nombres secrets, pas encore utilisé (index à zéro), parmi les 250 qui sont affectés à cette machine, l'index du nombre transmis étant alors mis à un pour montrer qu'il a été utilisé.
En outre, grâce à une imprimante 5, une étiquette autocollante 23 est imprimée en clair avec des données d'identification de la machine à laquelle est destinée l'autorisation, et cette étiquette, lorsque la carte 14 a été codée, est collée à l'emplacement 17 où elle obture l'ouverture 16, cette étiquette étant réalisée avec une impression de fond qui permet d'en reconnaítre l'origine et limite les risques de la voir remplacée dans une intention frauduleuse.
Après avoir ainsi préparé la carte 14, le centre 1 l'expédie, par exemple par un porteur ou par la poste, jusqu'au site où se trouve la machine 8, et lorsqu'elle parvient à ce site, on introduit la carte 14 dans le logement 18, les connecteurs 20 se mettent en action lorsque la carte est enfoncée à fond, les données présentes sur la carte sont lues et communiquées aux circuits internes de la machine, ceux-ci vérifient si le numéro d' identification figurant dans les données qui viennent d'être reçues correspondent au numéro d'identification qui lui a été affecté dans la phase d'initialisation, si c'est bien le cas, les circuits commandent l'électro-aimant 21 pour que le plongeur 22 descende puis remonte, c'est-à-dire pour le faire passer de sa position de repos où il est en dehors de l'espace de réception de la carte 14 qui s'ouvre vers l'extérieur par la fente 19, à une position actionnée où il traverse cet espace, puis à la position de repos, de sorte qu'il perfore l'étiquette 23 au niveau du trou 16, les circuits recherchent si le nombre figurant dans les données qui viennent d'être lues fait partie des nombres secrets conservés dans ses registres de mémoire, et si la machine y trouve ce nombre associé à un index à l'état zéro, elle met celui-ci à l'état un, et elle recharge son compteur descendant de la valeur de rechargement qu'on lui a attribuée lors des opérations d'initialisation.
La valeur de rechargement peut bien naturellement varier d'une machine à une autre, eu égard à la consommation prévisible ou à toute autre considération, mais pour une machine donnée, elle ne peut pas être modifiée à distance.
En variante, dans la phase d'initialisation, on prévoit plusieurs séries de nombres aléatoires différents à chacune desquelles correspond une valeur distincte de rechargement du compteur, la machine, lorsqu'elle recharge son compteur, prenant en compte la valeur correspondant à la série dont fait partie le nombre secret qu'elle vient de recevoir.
Dans d'autres variantes, on utilise la même méthode pour d'autres compteurs contrôlant l'utilisation de la machine 8, par exemple pour autoriser la machine à fonctionner pendant une durée prédéterminée, ou pour l'autoriser à fonctionner jusqu'à ce que le compteur ascendant ait atteint une valeur calculée en ajoutant la valeur de rechargement à la valeur qu'avait ce compteur au moment où le rechargement s'est opéré.
Compte tenu du fait qu'on interdit le réemploi d'un nombre secret, le rechargement de compteur ne peut s'opérer, après l'initialisation, qu'un nombre de fois correspondant à la quantité de nombres secrets attribués pendant la phase d'initialisation, qui est de 250 dans le présent exemple. Au cas où la machine doit encore être utilisée, il convient d'effectuer alors une nouvelle opération d'initialisation.
Dans la description de l'exemple de réalisation des figures 1 à 6 qui précède, c'est le centre 1 qui est l'émetteur des informations à transmettre, et la machine 8 qui en est le destinataire ou récepteur, mais il est également possible d'avoir la machine 8 comme émetteur et le centre 1 comme destinataire, notamment pour transmettre à ce dernier un relevé du compteur ascendant ou d'autres données mémorisées dans la machine 8, par exemple des statistiques d'utilisation des diverses tranches d'affranchissement, la machine 8 transmettant les données au centre 1 par exemple en réponse à une commande inscrite par le centre sur la carte en même temps que l'instruction de rechargement de compteur.
Etant donné que la carte 14 est à écriture libre, il est préférable, pour être certain que les données lues dans le centre 1 sont bien celles qui ont été inscrites par la machine 8 voulue, de prévoir là-aussi un moyen d'authentification des données.
Ainsi, on peut par exemple prévoir que pendant la phase d'initialisation de la machine 8, on lui donne un jeu de clefs numériques secrètes pour un algorithme adapté à produire un cryptogramme à partir de données et d'une des clefs en question, celles-ci étant stockées dans le dossier que tient le centre 1 pour la machine 8, dans sa partie sécurisée, et dans les registres mémoires de la machine 8. L'une des clefs secrètes étant choisie, la machine calcule à partir des données qu'elle transmet le cryptogramme, et inscrit celui-ci sur la carte en même temps que les données, le centre 1, après avoir lu les données, refaisant le même calcul et vérifiant que le cryptogramme qu'il obtient correspond bien à celui qui est présent sur la carte.
Naturellement, au cas où les données auraient été modifiées dans un but frauduleux, l'absence de correspondance entre les cryptogrammes révèlerait la fraude.
Pour choisir celle des clefs utilisées pour la transmission, on peut par exemple en fixer une première lors des opérations d'initialisation, et prévoir des commandes que le centre peut transmettre à la machine 8 pour que celle-ci utilise une autre des clefs qu'elle conserve en mémoire.
Bien entendu, le calcul du cryptogramme d'authentification est effectué par les circuits électroniques internes de la machine 8, l'algorithme étant contenu dans le logiciel additionnel dont est muni le microcontrôleur, cet algorithme étant par exemple du type DES.
La capacité à faire la machine 8 renvoyer des données au centre 1 peut notamment être utilisée pour procéder, sur commande, comme indiqué ci-dessus, au relevé du compteur ascendant, afin de facturer les machines d'après leur consommation réelle.
Elle peut également servir pour assurer le contrôle de la maintenance des machines : pour cela, une carte est émise par le centre et envoyée à l'organisation chargée de la maintenance. Cette carte porte le numéro de la machine à vérifier, et une date limite pour procéder à la vérification. Un technicien doit alors se rendre auprès de la machine, introduire la carte dans celle-ci, ce qui inscrira les informations demandées sur l'état de ladite machine. La preuve de l'intervention sera donnée par le retour de la carte au centre 1.
Il est également possible que l'émetteur à authentifier soit le centre 1. Dans ce cas, s'il n'a aucune données à transmettre ou si elles sont en nombre insuffisant, il génère une série de caractères de façon aléatoire, il calcule sur la base de ceux-ci le cryptogramme, et il inscrit à la fois la série de caractères et le cryptogramme, celui-ci étant vérifié à l'arrivée par la machine 8.
Dans un autre mode de réalisation, expliqué ci-après à l'appui des figures 1 et 7, ce ne sont pas les lecteurs/encodeurs 4 prévus dans le centre 1 qui servent à celui-ci pour inscrire ou lire des informations sur la carte 14, mais le terminal télématique 24 montré sur la figure 7, qui est présent sur un site où se trouve un certain nombre de machines 8, ce site étant éloigné du centre 1. Le terminal 24 comporte dans un boítier unique au moins un lecteur/encodeur 25 de carte à puce, du même genre que le lecteur/encodeur 4 du centre 1 ou que celui qui est prévu dans les machines 8 et qui comporte un logement 18 pour la carte. En outre du lecteur/encodeur 25, le terminal 24 comporte des circuits logiques de commande ainsi qu'un modem, et éventuellement, comme dans l'exemple montré sur la figure 7, un clavier 26 et un écran 27.
Les circuits logiques de commande sont sensibles à l'introduction d'une carte dans le lecteur/encodeur 25, reconnaissent le type de carte introduit et vérifient que la carte contient les informations d' identification appropriées. Selon les informations lues sur la carte (voir plus loin), les circuits de commande peuvent lancer l'exécution d'une opération de lecture de la carte, d'une opération d'écriture, ou encore appeler de façon automatique le centre 1 au moyen du modem pour demander une transaction, transmettre des informations vers le centre ou en recevoir de celui-ci.
Dans le site où se trouve le terminal 24 et les différentes machines 8, il est prévu une carte 14 par machine, dont la mémoire comporte le numéro d'identification de cette machine grâce à une initialisation effectuée par le centre 1, sans que celui-ci ne produire d'étiquette avec l'imprimante 5 ni n'en colle à l'emplacement 17, et plus généralement dans la variante utilisant le terminal 24, on ne colle pas d'étiquette sur les cartes 14 utilisées. A part cette différence, la transmission des informations est similaire à celle du premier mode de réalisation si ce n'est que le lecteur/encodeur 25 est relié à l'ordinateur 2 non pas par l'intermédiaire d'un ordinateur de gestion 3, mais par l'intermédiaire du réseau téléphonique public 7 et du modem 6.
Du point de vue de l'utilisateur, alors que pour obtenir une instruction de rechargement de compteur lorsque la carte est émise par le centre, il doit effectuer une demande par téléphone, courrier, télécopie, ou télex, et attendre que la carte soit créée par le centre pendant ses heures d'ouverture et enfin envoyée sur le site par courrier ou porteur, le fait de disposer d'un terminal télématique 24 permet d'obtenir une instruction de rechargement en quelques instants et à toute heure.
Pour obtenir une telle instruction, la carte propre à la machine qui en a besoin est introduite dans cette dernière, la carte étant reconnue, la machine 8 va enregistrer sur la carte 14 qui lui est propre son état, et notamment la valeur de certains de ses compteurs, ainsi que le cryptogramme d'utilisation.
L'utilisateur retire alors la carte de la machine, et l'introduit dans le terminal. Celui-ci reconnaít la carte, et appelle le centre grâce à son modem, la communication passant par le réseau téléphonique public 7 et par le modem 6 du centre 1, les données transmises étant celles qui sont inscrites dans la mémoire de la carte 14.
Après avoir reçu les données, le centre 1 vérifie l'authenticité de celles-ci grâce au cryptogramme, et si toutes les conditions sont remplies, il envoie par retour un message comportant les données à inscrire sur la carte pour constituer une instruction de rechargement de compteur, et notamment l'un des 250 nombres encore valides.
L'utilisateur récupère la carte du terminal et l'insère à nouveau dans la machine, qui effectue les mêmes opérations que décrit plus haut jusqu'à recharger son compteur, certaines données pouvant être écrites ensuite sur la carte pour que le processus reproduise lorsqu'il sera à nouveau nécessaire de demander une nouvelle instruction de rechargement de compteur.
De nombreuses variantes sont possibles en fonction des circonstances, et à cet égard, on rappelle que l'invention ne se limite pas aux exemples décrits et représentés.

Claims (11)

  1. Procédé de transmission d'informations entre un centre de contrôle informatisé (1) et une pluralité de machines à affranchir électroniques (8), au moins afin que le centre (1) puisse transmettre à chaque dite machine (8) une instruction de rechargement de compteur, procédé dans lequel on inscrit ou on lit les données respectivement à émettre et à recevoir dans une mémoire d'un objet portatif qu'on transporte entre un moyen d'inscription des données à émettre (4, 18, 25) et un moyen de lecture des données à recevoir (4, 18, 25), avec un dit moyen d'inscription (4, 25) commandé par le centre (1) et un dit moyen de lecture (18) prévu dans chaque machine à affranchir ; caractérisé
    en ce qu'on conserve, pour chaque machine de ladite pluralité de machines (8), à la fois dans une mémoire sécurisée dudit centre (1) et dans une mémoire sécurisée de cette machine, une pluralité d'unités d'informations secrètes chacune accessible par ledit centre et par cette machine pour toute future transmission d'informations dudit centre (1) à cette machine ; et
    en ce que, pour transmettre dudit centre (1) à une machine déterminée de ladite pluralité de machines (8), des informations à protéger de la fraude telles que ladite instruction de rechargement :
    on utilise un objet portatif (14) comportant une mémoire où l'inscription et la lecture des données sont libres,
    on sélectionne dans ledit centre (1) une unité d'informations parmi ladite pluralité d'unités d'informations secrètes conservées pour ladite machine déterminée,
    on inscrit, avec ledit moyen d'inscription (4,25) commandé par le centre (1), dans ladite mémoire dudit objet portatif (14), des données comportant un moyen d'authentification adapté à ne pouvoir être préparé et vérifié que si on connaít ladite unité d'informations secrètes sélectionnée dans ledit centre, et comportant un moyen pour faire connaítre à ladite machine déterminée cette unité d'informations secrètes,
    on transporte ledit objet jusqu'à ladite machine déterminée,
    on lit lesdites données dans ladite mémoire dudit objet portable, avec un moyen de lecture (18) prévu dans ladite machine déterminée, et
    on ne prend en compte lesdites données dans ladite machine déterminée qu'après vérification dudit moyen d'authentification, chaque dite vérification étant adaptée à être pratiquée avec l'une quelconque desdites unités d'informations secrètes.
  2. Procédé selon la revendication 1, caractérisé en ce que :
    à la mise en service de chaque dite machine à affranchir (8), on réalise une phase d'initialisation dans laquelle on lui attribue de manière secrète un ensemble de nombres aléatoires différents qu'on charge à la fois dans une mémoire sécurisée du centre (1) et dans une mémoire sécurisée de la machine (8), chaque nombre secret y étant conservé en association avec un index à deux états mis alors dans un premier état ;
    pour transmettre une instruction de rechargement de compteur à destination de cette machine, le centre lit dans sa dite mémoire sécurisée l'un des nombres secrets attribués à cette machine et dont l'index est dans le premier état, il met dans le deuxième état l'index associé au nombre secret lu, et il inscrit dans la mémoire d'un dit objet portatif (14) ledit nombre secret lu ; et
    lorsqu'une machine à affranchir détecte la présence d'un objet portatif dans son moyen de lecture, elle fait celui-ci lire la mémoire de l'objet, elle recherche si le nombre figurant dans les données qu'elle vient de recevoir fait partie des nombres secrets conservés dans sa mémoire sécurisée, et si elle y trouve ce nombre associé à un index dans le premier état, elle met l'index dans le deuxième état, et elle recharge son compteur.
  3. Procédé selon la revendication 2, caractérisé en ce que, dans ladite phase d'initialisation, on affecte à la machine une valeur unique de rechargement de compteur, qu'elle prend en compte à chaque fois qu'elle recharge son compteur.
  4. Procédé selon la revendication 2, caractérisé en ce que, dans ladite phase d'initialisation, on prévoit plusieurs séries de nombres aléatoires différents à chacune desquelles correspond une valeur distincte de rechargement de compteur, la machine (8), lorsqu'elle recharge son compteur, prenant en compte la valeur correspondant à la série dont fait partie le nombre secret qu'elle vient de recevoir.
  5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que :
    à la mise en service de chaque dite machine à affranchir, on réalise une phase d'initialisation dans laquelle on lui donne un jeu de clefs numériques secrètes pour un algorithme adapté à produire un cryptogramme à partir de données et d'une telle clef numérique, et on charge ces clefs à la fois dans une mémoire sécurisée du centre et dans une mémoire sécurisée de la machine ;
    pour authentifier l'origine d'informations émises par le centre (1) ou par ladite machine (8), on choisit l'une desdites clefs numériques secrètes, l'émetteur de l'information (1, 8) calcule un cryptogramme avec cette clef, il inscrit dans la mémoire d'un dit objet portatif (14) l'information à transmettre ainsi que le cryptogramme, et lorsque le destinataire de l'information détecte la présence d'un objet portatif (14) dans son moyen de lecture (4, 18, 25), il fait celui-ci lire la mémoire de l'objet (14), il calcule un cryptogramme avec la même clef, il compare le cryptogramme figurant dans les données reçues avec celui qu'il a calculé, et ne considère les informations comme authentiques que si le cryptogramme reçu et le cryptogramme calculé se correspondent.
  6. Procédé selon la revendication 5, caractérisé en ce qu'on choisit celle desdites clefs numériques à utiliser, en fixant une première clef lors des opérations d'initialisation, et en prévoyant des commandes que le centre (1) peut transmettre à la machine (8) avec laquelle doit s'effectuer une dite transmission d'informations, pour que cette machine (8) utilise une autre des clefs qu'elle conserve en mémoire.
  7. Procédé selon l'une quelconque des revendications 5 ou 6, caractérisé en ce que les données avec lesquelles le cryptogramme est calculé sont des caractères figurant dans les informations émises.
  8. Procédé selon l'une quelconque des revendication 5 ou 6, caractérisé en ce que les données avec lesquelles le cryptogramme est calculé sont des caractères générés de façon aléatoire, qu'on inscrit également dans la mémoire de l'objet portatif (14)
  9. Procédé selon l'une quelconque des revendications 1 à 8, caractérisé en ce que le centre commande un moyen (4, 25) d'inscription/lecture dans la mémoire de l'objet portatif (14), et en ce que chaque dite machine à affranchir (8) comporte un tel moyen d'inscription/lecture (18).
  10. Procédé selon la revendication 9, caractérisé en ce qu'au moins un moyen (25) d'inscription/lecture commandé par le centre (1) fait partie d'un terminal télématique (24) disposé dans un site où se trouve une dite machine à affranchir (8), ledit terminal (24) comportant des moyens pour se relier au centre à travers le réseau téléphonique public (7).
  11. Procédé selon l'une quelconque des revendications 1 à 10, caractérisé en ce que ledit objet portatif est une carte à mémoire.
EP95401980A 1994-09-01 1995-08-31 Procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques Expired - Lifetime EP0700021B1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9410530A FR2724244A1 (fr) 1994-09-01 1994-09-01 Procede de transmission d'informations entre un centre de controle informatise et une pluralite de machines a affranchir electroniques
FR9410530 1994-09-01

Publications (2)

Publication Number Publication Date
EP0700021A1 EP0700021A1 (fr) 1996-03-06
EP0700021B1 true EP0700021B1 (fr) 2005-03-16

Family

ID=9466636

Family Applications (1)

Application Number Title Priority Date Filing Date
EP95401980A Expired - Lifetime EP0700021B1 (fr) 1994-09-01 1995-08-31 Procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques

Country Status (5)

Country Link
US (1) US5675651A (fr)
EP (1) EP0700021B1 (fr)
CA (1) CA2156791C (fr)
DE (1) DE69534073T2 (fr)
FR (1) FR2724244A1 (fr)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2793332B1 (fr) 1999-05-05 2001-08-10 Secap Machine a affranchir et son procede de fonctionnement
DE10023145A1 (de) * 2000-05-12 2001-11-15 Francotyp Postalia Gmbh Frankiermaschine und Verfahren zur Freigabe einer Frankiermaschine
AU2002359279A1 (en) * 2001-11-16 2003-06-10 Neopost Group Secure data capture apparatus and method
US20030097337A1 (en) * 2001-11-16 2003-05-22 George Brookner Secure data capture apparatus and method
FI124437B (fi) 2009-12-18 2014-08-29 Itella Oyj Järjestelmä, menetelmä ja palvelu varojen lisäämiseksi etukäteen maksettavaan palveluun

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE2916207A1 (de) * 1979-04-21 1980-11-13 Hess Richard Vorrichtung und ein mit dieser vorrichtung codierter wertcoupon zum vorbestellen von menues o.dgl. in dieser vorrichtung
US4436992A (en) * 1981-01-08 1984-03-13 Simjian Luther G Check controlled metering device
GB8400809D0 (en) * 1984-01-12 1984-02-15 De La Rue Co Plc Prepayment metering system
GB2173738B (en) * 1985-04-19 1989-07-12 Roneo Alcatel Ltd Secure transport of information between electronic stations
CA1301335C (fr) * 1988-02-08 1992-05-19 Robert K.T. Chen Systeme a affranchir a carte de valeur
CH678368A5 (fr) * 1989-03-29 1991-08-30 Frama Ag
GB2251210B (en) * 1990-12-31 1995-01-18 Alcatel Business Systems Postage meter system

Also Published As

Publication number Publication date
DE69534073D1 (de) 2005-04-21
FR2724244B1 (fr) 1997-02-21
US5675651A (en) 1997-10-07
CA2156791A1 (fr) 1996-03-02
FR2724244A1 (fr) 1996-03-08
DE69534073T2 (de) 2006-02-09
EP0700021A1 (fr) 1996-03-06
CA2156791C (fr) 2002-10-22

Similar Documents

Publication Publication Date Title
EP0704081B1 (fr) Procede de controle d'une imprimante et cartouche pour obtenir des affranchissements postaux
EP0294397B2 (fr) Systeme de transaction automatise utilisant des cartes a microprocesseur
EP0423035B1 (fr) Système de paiement ou de transfert d'informations par carte à mémoire électronique porte-monnaie
CA2011090C (fr) Methode et dispositif visant a simplifier l'utilisation d'une variete de cartes de credit ou de cartes semblables
CA2547811A1 (fr) Procede et systeme de location automatique de bicyclettes
CA2407549C (fr) Systeme de transaction avec dispositif personnel portatif d'identification et de controle de transaction
EP0426541B1 (fr) Procédé de protection contre l'utilisation frauduleuse de cartes à microprocesseur, et dispositif de mise en oeuvre
US5520275A (en) Method and device for servicing a terminal
CH675029A5 (fr)
CH675168A5 (fr)
RU2002134748A (ru) Система и способ для создания и аутентификации оригиналов документов
EP0775987B1 (fr) Procédé et dispositif pour l'authentification de rapports de comptabilisation d'affranchissement
FR2528197A1 (fr) Procede de controle de l'usage de documents reserves, documents et dispositifs pour sa mise en oeuvre
EP0700021B1 (fr) Procédé de transmission d'informations entre un centre de contrôle informatisé et une pluralité de machines à affranchir électroniques
FR2586124A1 (fr) Dispositif de verrouillage de machine a affranchir
EP2075726B1 (fr) Outil utilisable pour l'authentification de documents, procédés d'utilisation de l'outil et de documents produits par le ou les procédés
FR2832829A1 (fr) Procede, systeme et dispositif permettant d'authentifier des donnees transmises et/ou recues par un utilisateur
EP1323140B1 (fr) Procede pour fournir des donnees d'identification d'une carte de paiement a un usager
EP0700020A1 (fr) Machine à affranchir électronique
US20070226151A1 (en) Method for Processing a Cashless Payment Transaction
FR2514592A1 (fr) Procede et dispositif de consultation de fichiers de donnees et/ou de transactions bancaires, preserves des fraudes grace a un procede de communication code par variable aleatoire
CA1335839C (fr) Executeur de transactions automatise utilisant des cartes pour transmettre des donnees sur des comptes
EP2256702A1 (fr) Écriture de carte portable, système de carte et procédé d'utilisation d'une écriture de carte portable
EP0413636A1 (fr) Système et procédé pour contrôler la collecte de bornes à prépaiement
CN116091060A (zh) 一种数字钱包的交易方法、交易终端及系统

Legal Events

Date Code Title Description
PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): CH DE ES FR GB IT LI SE

17P Request for examination filed

Effective date: 19960402

17Q First examination report despatched

Effective date: 19981211

GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): CH DE ES FR GB IT LI SE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRE;WARNING: LAPSES OF ITALIAN PATENTS WITH EFFECTIVE DATE BEFORE 2007 MAY HAVE OCCURRED AT ANY TIME BEFORE 2007. THE CORRECT EFFECTIVE DATE MAY BE DIFFERENT FROM THE ONE RECORDED.SCRIBED TIME-LIMIT

Effective date: 20050316

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

RAP2 Party data changed (patent owner data changed or rights of a patent transferred)

Owner name: SECAP (GROUPE PITNEY BOWES)

REF Corresponds to:

Ref document number: 69534073

Country of ref document: DE

Date of ref document: 20050421

Kind code of ref document: P

GBT Gb: translation of ep patent filed (gb section 77(6)(a)/1977)

Effective date: 20050518

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20050627

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20050831

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20050831

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

26N No opposition filed

Effective date: 20051219

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20050616

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20090827

Year of fee payment: 15

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20100825

Year of fee payment: 16

REG Reference to a national code

Ref country code: DE

Ref legal event code: R119

Ref document number: 69534073

Country of ref document: DE

Effective date: 20110301

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20110301

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20110830

Year of fee payment: 17

GBPC Gb: european patent ceased through non-payment of renewal fee

Effective date: 20110831

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: GB

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20110831

REG Reference to a national code

Ref country code: FR

Ref legal event code: ST

Effective date: 20130430

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20120831