EP4222620A1 - Procede de controle d'acces a des services, procedes associes et dispositifs associes - Google Patents

Procede de controle d'acces a des services, procedes associes et dispositifs associes

Info

Publication number
EP4222620A1
EP4222620A1 EP21798073.9A EP21798073A EP4222620A1 EP 4222620 A1 EP4222620 A1 EP 4222620A1 EP 21798073 A EP21798073 A EP 21798073A EP 4222620 A1 EP4222620 A1 EP 4222620A1
Authority
EP
European Patent Office
Prior art keywords
communication terminal
service
authentication
identifier
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
EP21798073.9A
Other languages
German (de)
English (en)
Inventor
Patrick KIRSCHBAUM
Sylvie GASPAR
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Orange SA
Original Assignee
Orange SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Orange SA filed Critical Orange SA
Publication of EP4222620A1 publication Critical patent/EP4222620A1/fr
Pending legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/34—User authentication involving the use of external additional devices, e.g. dongles or smart cards
    • G06F21/35—User authentication involving the use of external additional devices, e.g. dongles or smart cards communicating wirelessly
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/42—User authentication using separate channels for security data
    • G06F21/43—User authentication using separate channels for security data wireless channels
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0853—Network architectures or network communication protocols for network security for authentication of entities using an additional device, e.g. smartcard, SIM or a different communication terminal
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2149—Restricted operating environment

Definitions

  • TITLE Process for controlling access to services, associated processes and associated devices
  • the invention relates to the personalization and control of access to remote services.
  • the purpose of the invention is to allow personalization of television services while allowing control of the owner of the customer account liable to the access provider for bills for the consumption of services such as videos, pay television or video games, etc.
  • the subject of the present invention is a method for controlling access to services, the services being provided by a device for providing services intended for a reproduction system, characterized in that the method comprises the following steps implemented by the service provision mechanism:
  • this control method allows high control of the use of his account by the holder of the account with an access provider.
  • many services can be controlled such as accessible channels, favorite channels and by extension all the services available by a service provider such as the control of connected objects, home automation services or even alarms.
  • this control can be carried out remotely with a high level of security and does not require the physical presence of the account holder in front of the television.
  • the request for access to said at least one service received was sent by a device among the following:
  • a reproduction system comprising a communication network communication unit and a display screen.
  • the customer account includes at least one service identification linked to the identifier of the first communication terminal and to the identifier of the customer account, said access being given to the communication terminal identified only for the service or services (s) having a service identification mentioned in the customer account and linked to the identifier of the first communication terminal.
  • the customer account comprises an identifier of a second communication terminal having subscribed to the customer account and an authentication code of said second communication terminal, and in which the customer account comprises an authorization on request, the method further comprising the following steps:
  • the services are provided by a service provision device, said service provision device being connected to a communication network, said service provision device hosting a database storing at least one customer account, the customer account being identified by an identifier, the customer account comprising identification data linked to the identifier of the customer account, the identification data comprising an identifier of at least one first communication terminal and at least one code of authentication of said at least one first communication terminal; said first communication terminal having a right to use the customer account, said first communication terminal comprising at least one communication network communication unit, an access control application, and an authentication application capable of generating the authentication code.
  • the invention also relates to a service provision device providing services intended for a reproduction system, the service provision device comprising:
  • a confirmation request transmitter to a first communication terminal associated with a customer account in the service provision device, following receipt of a request for access to at least one service, the access request coming from the reproduction system and comprising an identifier of said customer account,
  • this process makes it possible to increase the knowledge of the customer by the service provider. It also allows for finer management of customer preferences.
  • the invention also relates to a method for confirming with a device for providing services a request for access to at least one service, characterized in that the method comprises the following steps implemented by the first terminal Communication :
  • an authentication code being generated by an authentication application after authentication of biometric data of the owner of the first communication terminal or after authentication of a personal identification number entered on the first communication terminal.
  • this method is easy and quick to use for the first communication terminal.
  • said authentication code of the first communication terminal is generated only after authentication of biometric data of the owner of the first communication terminal.
  • the invention also relates to a communication terminal characterized in that it further comprises an access control application suitable for receiving a confirmation request and for transmitting an authentication code generated by an authentication application after authentication of biometric data of the owner of the first communication terminal or after authentication of a personal identification number entered on the first communication terminal.
  • the invention also relates to a method for enriching a memory of a service providing device to control access to services, said service providing device being connected to a communication network, said provision of services comprising a generator suitable for generating an installation code, characterized in that the method comprises the following steps implemented by the service provision device:
  • the customer account can be easily and quickly enriched by registering a new first terminal.
  • it is also easy and quick to delete a first communication terminal existing in the database.
  • the method further comprises the following steps:
  • the method further comprises a step of transmitting a text message to the first communication terminal to confirm the recording of said at least one service identification in the memory of the service provision device.
  • the invention also relates to a method for installing on a first communication terminal a service access control, characterized in that the method comprises the following steps implemented by the first communication terminal connected to the communications network:
  • the access control application can be easily installed.
  • said authentication code of the first communication terminal is generated only after authentication of biometric data of the owner of the first communication terminal.
  • FIG. 1 is a schematic view of an example of a service access control system, the system comprising a service provision device and a user communication terminal according to the invention
  • FIG. 2 is a table representing an example of data stored in two customer accounts of a database of the service provision device according to the invention
  • FIG. 3 is a chronogram representing the main steps of a process for enriching a database and a process for installing access control on a first communication terminal;
  • FIG. 4 is a timing diagram representing the main steps of the access control method according to the invention implemented by the service provision device and representing the main steps of the method for confirming a request for access to a service by a first communication terminal; and
  • FIG. 5 is a chronogram representing the main steps for implementing the authorization on request function.
  • a communication terminal belonging to a user who has subscribed to the services offered by a service provision device is called a “second communication terminal”.
  • Another communication terminal belonging to a user distinct from the user having subscribed to the subscription is called “first communication terminal”.
  • the first communication terminal benefits from access to the services by means of a usage authorization given by the user of the second communication terminal.
  • the methods according to the invention are implemented in an access control system 1 such as the system represented in FIG. Referring to Figure 1, the access control system 1 comprises a communication network 12, a second communication terminal 2 connected to the network 12, a first communication terminal 6 connected to the network 12 and possibly one or more reproduction 28 also connected to the network 12.
  • the communication network 12 is for example an Internet network.
  • the exchanges comply with the Internet protocol.
  • the communication terminals 2.6 are, for example, mobile telephones of the smart type (“Smartphone”). They comprise a communication unit 16 to the network 12, a display screen 22, a SIM card, USIM, or a microSIM card. They can be connected to the communication network 12 via a wireless access network, such as a GSM, UMTS, 3G, 4G, 5G mobile network, etc.
  • a wireless access network such as a GSM, UMTS, 3G, 4G, 5G mobile network, etc.
  • the communication terminals 2, 4 include in memory an authentication application 18 adapted to implement the steps of an authentication method based on the recognition of a personal identification number (also called pin code) or on the basis of the recognition of a biometric element such as the fingerprint.
  • the communication terminals 2, 4 are equipped with a fingerprint sensor, a retinal analysis module, and/or a facial recognition module.
  • the authentication application is configured to check that this biometric data is indeed identical to that of the holder of the communication terminal.
  • the authentication application When this biometric data is identical to that of the holder of the communication terminal, the authentication application generates an authentication code AUTC2, AUTU6.
  • This authentication code is specific to each communication terminal.
  • the acceptance of the biometric data is used to authenticate the communication terminal.
  • the biometric data itself is not used and is not stored in the memory of the communication terminal.
  • each reproduction system 28 comprises a communication unit 16 to the communication network and a display screen 22.
  • the reproduction system 28 can for example be constituted by either a reproduction terminal such as a personal computer 30, a tablet or a television directly connected to the communication network, or by an assembly 32 comprising a television 32 connected by wired or wireless link to the TV decoder.
  • the reproduction system can be used by different users.
  • the reproduction terminal is distinct from the first communication terminal 6.
  • the access control system 1 further comprises a service provision device 10 connected to the network 12.
  • the service provision device is a web server which hosts paid online services. These services include the supply of multimedia content such as, for example, pay television, video games, films, music, videos (replay, VOD), home automation services. Services are web services. They can be obtained by means of a browser executed on the communication terminals or on a reproduction system.
  • the service provision device comprises web pages making it possible to receive requests and to transmit information to communication terminals of the mobile telephone type or to reproduction systems 28 so as to provide the service in question.
  • the service provision device 10 comprises or is linked to a memory storing a database 14.
  • the database is stored in the service provider server.
  • the embodiment shown in Figure 1 is in no way limiting.
  • the database 14 stores customer accounts C2, C4.
  • Figure 2 shows an example of two customer accounts C2, C4.
  • the customer account C2 subscribed by the second communication terminal 2 is identified by an identifier referenced “ID2-Account”.
  • the customer account C4 subscribed by the second communication terminal 4 is identified by a different identifier referenced “ID4-Account”.
  • Each customer account includes identification data linked to the customer account identifier.
  • the identification data contained in the customer account C2 include: an identifier IDC2 of the second communication terminal 2, an authentication code AUTC2 of the second communication terminal, an installation code CD2, and for each first communication terminal having a right to use the customer account C2,
  • an identifier of the first communication terminal - for example the identifiers IDU6, IDU8 of the first communication terminals 6, 8,
  • an authentication code of the first communication terminal - for example the authentication codes AUTU6, AUTU8 of the first communication terminals 6, 8
  • service identifications C1, C4, V authorized for the first communication terminal for example service identifications C1, C4, V for the first communication terminal 6 and service identifications C5, C7, JV authorized for the first communication terminal 8, and possibly an authorization on request SD.
  • All of the identification data is linked to the identifier of the customer account, for example to the identifier "ID2-Account" in the example described above.
  • the right of use is the possibility offered to a customer holding a customer account to share the services acquired through the subscription to his customer account with users of communication terminals.
  • a list of the identifiers of the first communication terminals having this right of use is transmitted by the holder of the customer account to the service provider server.
  • Patent application FR 2008839 in the name of the applicant describes an example of the implementation of such a right of use.
  • the identifier of the second communication terminal 2 is, for example, the telephone number of the second communication terminal 2.
  • the identifier of the first communication terminal 6 is, for example, the telephone number of the first communication terminal 6.
  • the identifier of the second communication terminal and the identifier of the first communication terminal can be their international mobile subscriber identity number IMSI.
  • the authentication codes AUTC2, AUTU6 are generated by the authentication applications 18 after authentication of biometric data of the owner of the second communication terminal or of the first communication terminal.
  • the authentication codes can also be generated after authentication of a personal identification number entered on the second communication terminal or on the first communication terminal.
  • the CD2 installation code is a temporary code generated by a code generator 24. It is specific to each customer account. It is only used when installing access control on a first communication terminal and when enriching the database 14 by adding one or more new first terminals communication as explained later in connection with the method illustrated in Figure 3.
  • the service identifications C1, C4, V consist of codes enabling the services to be identified.
  • the codes C1 , C4 represent television channels 1 and 4.
  • the codes V and JV represent a video service and a video game service respectively.
  • the code M represents a music service.
  • Authorization on request SD is a function allowing the holder of the customer account to give occasional and non-permanent authorizations for use.
  • the account holder receives a service access authorization request message each time a first communication terminal 6 or a reproduction system 28 transmits a service request to the service provider server. services.
  • the customer account holder can then authorize or refuse the service. This refusal or acceptance is only valid for this access authorization request.
  • the first communication terminal 6 or the reproduction system 28 will have to redo an access authorization request when it again wishes to have access to this service.
  • the second communication terminal can accept or refuse this new request regardless of the choice (acceptance or refusal) it made during the first access authorization request.
  • Authorization on request SD is a function that is implemented only on the services mentioned for a first communication terminal given in the customer account. These services will have been previously mentioned by the second communication terminal. The method for implementing the authorization on request SD will be described later in connection with FIG. 5.
  • the service provision device 10 also comprises at least one generator 24 of an installation code capable of generating temporary codes specific to each customer account. These temporary codes comprise for example four digits.
  • each customer account includes an installation code generator 24.
  • the service provision device comprises a single generator capable of generating installation codes for all of the customer accounts.
  • the access control system 1 comprises a server 26 connected to the network 12.
  • This server 26 comprises an access control application 20 which can be distributed under the management of mobile terminals, also called MDM application (from the English “Mobile Device Management”).
  • This access control application 20 is capable of being downloaded onto first communication terminals or onto second communication terminals.
  • the access control application 20 to be downloaded is stored on the service provision device 10.
  • FIG. 3 illustrates the steps of a method for enriching the memory of the device 10 and in particular of the database 14 and of a method for installing a service access control on the first communication terminal 6.
  • At least one customer account 2 has already been created and that it already comprises the following identification data: an identifier IDC2 of the second communication terminal, an authentication code AUTC2 of the second communication terminal, an identifier IDU6, IDU8 of the first communication terminals having a right to use the customer account, and a authentication code AUTU6, AUTU8 of the first communication terminals having a right to use the customer account.
  • FIG. 3 illustrates an example of implementation of the method for enriching the database 14 in which the holder of the customer account C2 subscribed by the owner of the second communication terminal 2 requests access control to the services provided to the first communication terminal 6 and the first communication terminal 8.
  • the process for enriching the database 14 begins with a step 68 during which the service provision device 10 receives a message containing the identifier ID2-Account of the customer account, the identifier IDU6, IDU8 of the first communication terminals 6,8 and service identifications associated with the first communication terminal 6 and the first communication terminal 8. Only the services having the identifications contained in the message are authorized to be viewed by the first communication terminal which is assigned to them. associated.
  • the message includes, for example, the service identifications C1, C2 and V associated with the first communication terminal 6 and the service identifications C5, C7 and JV associated with the first communication terminal 8.
  • the service identifications C1, C2 and V correspond to channel 1 , channel 2 and video content.
  • the service identifications C5, C7 and JV correspond to channel 5, channel 7 and video games.
  • the message may also comprise an “authorization on request” function SD linked to a service identification and to an identification of the first communication terminal.
  • Step 68 of transmitting the identifier of the customer account, the identifier of the first communication terminal, service identifications and possibly the SD “authorization on request” function can be implemented:
  • the transmission of the authentication code AUTC2 of the second communication terminal can only be carried out from the second communication terminal 2
  • the service provision device records, during a step 72, the service identifications C1, C2, V in the database 14 so that they are linked to the identifier "ID2-Account” of the customer account C2 and to the identifier IDU6 of the first communication terminal.
  • the service identifications C5, C7 and JV are recorded in the database 14 so that they are linked to the "ID2-Account” identifier of the customer account C2 and to the identifier IDU8 of the first communication terminal.
  • the "authorization on request" function SD is recorded in connection with the identifier of the customer account "ID2-Account", with the identifier IDU6 of the first communication terminal and with the service identification associated.
  • the “authorization on request” function has been requested by the second communication terminal 2 for the video service V for the first communication terminal 6 identified by the identifier IDU6.
  • the authorization function on request SD has been requested by the second communication terminal 2 for the video game service JV for the first communication terminal 8 identified by the identifier IDU8.
  • the service identifications C1, C4 and V and the associated authorization function SD on request constitutes the “profile” of the first communication terminal identified by the identifier IDU6.
  • the service identifications C5, C7 and JV and the associated authorization function SD on request constitutes the “profile” of the first communication terminal 8 identified by the identifier IDU8.
  • the generator 24 generates an installation code CD2.
  • the service provision device records the installation code CD2 in the customer account C2 so that this code is linked or coupled to the identifier of the customer account “ID2-Account”.
  • the service provision device 10 transmits a short message to the first communication terminal 6 and a short message to the first communication terminal 8.
  • These short messages include the installation code CD2.
  • the installation code CD2 To simplify Figure 3, only the first communication terminal 6 has been shown therein.
  • the first communication terminal 6 receives the short message transmitted by the service provision device.
  • the first communication terminal 6 downloads an access control application 20 from a server 26.
  • the user of the first communication terminal 6 saves the CD2 installation code received by text message in the access control application 20.
  • the user of the first communication terminal 6 captures biometric data such as capturing a fingerprint.
  • the authentication application 18 verifies that this biometric data is indeed identical to that of the holder of the first communication terminal.
  • the authentication application 18 generates an authentication code AUTU6.
  • the user of the first communication terminal 6 enters a personal identification number in the authentication application 18 which generates an authentication code AUTU6 if this personal identification number is recognized.
  • the first communication terminal 6 transmits a message to the service provision device 10. This message includes the installation code CD2, the authentication code AUTU6 generated during step 84 and the identifier IDU6 of the first communication terminal 6.
  • the service provision device 10 receives the message comprising the installation code CD2, the authentication code AUTU6 of the first communication terminal and the identifier IDU6 of the first communication terminal.
  • the service provision device saves the received authentication code AUTU6 in the database 14 so that the latter is linked to the identifier of the customer account and to the identifier IDU6 of the first communication terminal.
  • the service provision device uses the installation code CD2.
  • the service provision device transmits a short message to the first communication terminal 6 to confirm the registration in the database 14.
  • Steps 79 to 90 are also implemented with the first communication terminal 8.
  • the authentication code AUTU6 of the first communication terminal is generated only after authentication of biometric data of the owner of the first communication terminal 6.
  • this variant is more secure because it makes it possible to guarantee that it is indeed the owner of the first communication terminal who makes the authentication request.
  • the method for installing a service access control on the first communication terminal 6 comprises the steps 79, 80, 82, 84 and 85 mentioned above.
  • the service access control method can be implemented by the service provision device 10.
  • the method begins when a user connects to a customer account from a reproduction system 28.
  • This reproduction system 28 is for example a set 32 comprising a television connected to a TV decoder or "set top box" in English . Profiles appear on the TV screen. The user selects his profile using his remote control.
  • the service provision device 10 then receives during a step 52, a service request from the reproduction system 28.
  • the service request comprises the identifier IDC2 of the customer account and the identifier IDU6 of the first communication terminal 6 linked to the profile selected by the user.
  • the service provision device transmits a confirmation by text message to the first communication terminal 6.
  • the first communication terminal 6 receives the short message. Then, the user of the first communication terminal 6 makes a capture of biometric data such as capture of a fingerprint. The authentication application 18 verifies that this biometric datum is indeed identical to that of the holder of the communication terminal. When this biometric data is identical to that of the holder of the communication terminal, the authentication application 18 generates an authentication code AUTU6. As a variant, the user of the first communication terminal 6 enters a personal identification number in the authentication application 18 which generates an authentication code AUTU6 if this personal identification number is recognized. During a step 56, the first communication terminal 6 transmits an authentication code AUTU6 to the service provision device 10. During a step 57, the service provision device 10 receives the authentication code AUTU6 from the first communication terminal 6.
  • the service provision device 10 compares the authentication code AUTU6 received with the authentication code AUTU6 recorded in its database 14 and linked to the identifier of the first communication terminal 6.
  • the service provision device 10 authorizes, during a step 60 , access to the services identified in the profile of the first communication terminal.
  • the method of confirming with a service provision device 10 a request for access to a viewing service comprises the steps 55 and 56 mentioned above.
  • the method further comprises a step 62 during which the service provider device transmits an authorization request on request SD , by short message, to the second communication terminal 2.
  • the owner of the second communication terminal 2 enters a response from among acceptance or refusal and captures biometric data or enters a pin code. If this biometric data or this pin code is recognized, the authentication application 18 generates an authentication code AUTC2. Then, the first communication terminal transmits to the service provision device the response and the authentication code AUTC2 of the second communication terminal. communications 2.
  • the service provider device receives the response and the authentication code AUTC2 from the second communication terminal. Then, the service provider device 10 implements the response during a step 60, if the received authentication code AUTC2 is identical to the authentication code AUTC2 of the second communication terminal stored in the customer account.
  • a user can have his communication terminal identifier registered with several customer account holders as represented in FIG. 2.
  • the user of the communication terminal identified by the identifier IDU6 is registered with the same service provider. These television profiles are different from one customer account to another. These accesses to the services provided by the service provision device are managed by the same access control application 20.
  • the first communication terminal of a home childcare provider could only access channels for children chosen by the parent holding the customer account. Thus, the home child care provider would not be able to watch programs that are inappropriate for the child.
  • the first communication terminal When the identifier of the first communication terminal is registered with two different service providers, the first communication terminal must download onto its first communication terminal two different access control applications each specific to a service provider.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Biomedical Technology (AREA)
  • Telephonic Communication Services (AREA)

Abstract

L'invention concerne un procédé de contrôle d'accès à des services télévisés ou audios fournis par un serveur fournisseur de services, le procédé comportant les étapes suivantes mises en œuvre par le serveur fournisseur de services: réception (52) d'une demande de service comprenant l'identifiant du compte client et l'identifiant du premier terminal de communication, transmission (54) d'une confirmation par minimessage au premier terminal de communication, réception (57) d'un code d'authentification provenant du premier terminal de communication, accès (60) à au moins un service télévisé si le code d'authentification réceptionné est identique au code d'authentification stocké dans la base de données et lié à l'identifiant du compte client.

Description

DESCRIPTION
TITRE : Procédé de contrôle d’accès à des services, procédés associés et dispositifs associés
Domaine technique de l’invention
L’invention est relative à la personnalisation et au contrôle de l’accès à des services distants.
Etat de la technique antérieure
Les services de télévision sont personnalisables, comme les séries, pour que chacun des membres de la famille sache quels sont les épisodes de la série qu’il a visionnés. Certains services permettent de personnalisés les chaînes favorites. Cette personnalisation est mise en œuvre par la création de profil. Ces profils sont parfois protégés par un code à saisir ou par une reconnaissance faciale comme dans le brevet US 20130329966. Toutefois, ces solutions ne permettent pas de contrôler l’usage d’un droit d’accès à un compte client par un terminal de communication tiers.
Présentation de l’invention
L’invention a pour but de permettre une personnalisation des services de télévision tout en permettant un contrôle du propriétaire du compte client redevable chez le fournisseur d’accès des factures de consommation des services comme les vidéos, la télévision payante ou les jeux vidéos etc.
Résumé de l’invention
La présente invention a pour objet un procédé de contrôle d’accès à des services, les services étant fournis par un dispositif de fourniture de services à destination d’un système de reproduction, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le dispositif de fourniture de services :
- transmission d’une requête de confirmation à un premier terminal de communication associé à un compte client dans le dispositif de fourniture de services, suite à une réception d’une demande d’accès à au moins un service, la demande d’accès provenant du système de reproduction et comprenant un identifiant dudit compte client,
- puis, accès audit au moins un service si un code d’authentification reçu en provenance dudit premier terminal de communication est identique à un code d’authentification associé au compte client. Avantageusement, ce procédé de contrôle permet un contrôle élevé de l’usage de son compte par le titulaire du compte chez un fournisseur d’accès.
Avantageusement, de nombreux services peuvent être contrôlés comme les chaînes accessibles, les chaînes favorites et par extension tous les services disponibles par un fournisseur de services comme le contrôle d’objets connectés, des services de domotiques ou encore d’alarme.
Avantageusement ce contrôle peut s’effectuer à distance avec un haut niveau de sécurité et ne nécessite pas la présence physique du titulaire du compte devant le téléviseur.
Les caractéristiques exposées dans les paragraphes suivants peuvent, optionnellement, être mises en œuvre. Elles peuvent être mises en œuvre indépendamment les unes des autres ou en combinaison les unes avec les autres : Selon un mode de réalisation, la demande d’accès audit au moins un service reçue, a été émise par un dispositif parmi les suivants :
- le premier terminal de communication,
- un système de reproduction comportant une unité de communication au réseau de communication et un écran d’affichage.
Selon un mode de réalisation, le compte client comporte au moins une identification de service liée à l’identifiant du premier terminal de communication et à l’identifiant du compte client, ledit accès étant donné au terminal de communication identifié uniquement pour le ou les service(s) ayant une identification de service mentionnée dans le compte client et liée à l’identifiant du premier terminal de communication. Selon un mode de réalisation, le compte client comporte un identifiant d’un deuxième terminal de communication ayant souscrit au compte client et un code d’authentification dudit deuxième terminal de communication, et dans lequel le compte client comporte une autorisation sur demande, le procédé comportant en outre les étape suivantes :
- transmission d’une demande d’autorisation au deuxième terminal de communication,
- réception d’une réponse et d’un code d’authentification du deuxième terminal de communication, ladite réponse étant une autorisation ou un refus d’accès au service,
- mise en œuvre de la réponse si le code d’authentification réceptionné est identique au code d’authentification du deuxième terminal de communication stocké dans le compte client. Selon un mode de réalisation, les services sont fournis par un dispositif de fourniture de services, ledit dispositif de fourniture de services étant connecté à un réseau de communication, ledit dispositif de fourniture de services hébergeant une base de données stockant au moins un compte client, le compte client étant identifié par un identifiant, le compte client comprenant des données d’identification liées à l’identifiant du compte client, les données d’identification comportant un identifiant d’au moins un premier terminal de communication et au moins un code d’authentification dudit au moins un premier terminal de communication ; ledit premier terminal de communication ayant un droit d’usage du compte client, ledit premier terminal de communication comportant au moins une unité de communication au réseau de communication, une application de contrôle d’accès, et une application d’authentification propre à générer le code d’authentification. L’invention a également pour objet un dispositif de fourniture de services fournissant des services à destination d’un système de reproduction, le dispositif de fourniture de services comportant :
- un transmetteur de requête de confirmation à un premier terminal de communication associé à un compte client dans le dispositif de fourniture de services, suite à une réception d’une demande d’accès à au moins un service, la demande d’accès provenant du système de reproduction et comprenant un identifiant dudit compte client,
- un fournisseur d’accès audit au moins un service si un code d’authentification reçu en provenance dudit premier terminal de communication est identique à un code d’authentification associé au compte client.
Avantageusement, ce procédé permet d’augmenter la connaissance du client par le fournisseur de services. Elle permet également une gestion plus fine des préférences des clients.
L’invention a également pour objet un procédé de confirmation auprès d’un dispositif de fourniture de services d’une demande d’accès à au moins un service, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le premier terminal de communication :
- réception d’une demande de confirmation provenant du dispositif de fourniture de services,
- transmission d’un code d’authentification au dispositif de fourniture de services, ledit code d’authentification étant généré par une application d’authentification après authentification d’une donnée biométrique du propriétaire du premier terminal de communication ou après authentification d’un numéro d’identification personnel saisi sur le premier terminal de communication.
Avantageusement, ce procédé est facile et rapide d’utilisation pour le premier ternal de communication.
Selon un mode de réalisation, ledit code d’authentification du premier terminal de communication est généré uniquement après authentification d’une donnée biométrique du propriétaire du premier terminal de communication.
L’invention a également pour objet un terminal de communication caractérisé en ce qu’il comporte en outre une application de contrôle d’accès propre à réceptionner une demande de confirmation et à transmettre un code d’authentification généré par une application d’authentification après authentification d’une donnée biométrique du propriétaire du premier terminal de communication ou après authentification d’un numéro d’identification personnel saisi sur le premier terminal de communication.
L’invention a également pour objet un procédé d’enrichissement d’une mémoire d’un dispositif de fourniture de services pour contrôler l’accès à des services, ledit dispositif de fourniture de services étant connecté à un réseau de communication, ledit dispositif de fourniture de services comportant un générateur propre à générer un code d’installation, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le dispositif de fourniture de services :
- génération d’un code d’installation et enregistrement dudit code d’installation en l’associant à l’identifiant du compte client,
- transmission dudit code d’installation au premier terminal de communication,
- réception d’un message provenant du premier terminal de communication, ledit message comportant le code d’authentification du premier terminal de communication, l’identifiant du premier terminal de communication et ledit code d’installation,
- enregistrement du code d’authentification réceptionné dans une mémoire du dispositif de manière que ledit code d’authentification soit associé à l’identifiant du compte client et à l’identifiant du premier terminal de communication en utilisant le code d’installation.
Avantageusement, le compte client peut être facilement et rapidement enrichit par l’enregistrement d’un nouveau premier terminal. Avantageusement, il est également facile et rapide de supprimer un premier terminal de communication existant dans la base de données.
Selon un mode de réalisation, le procédé comporte en outre les étapes suivantes :
- réception de l’identifiant du compte client, de l’identifiant du premier terminal de communication et d’au moins une identification de service, seul le service ayant ladite identification étant autorisé à être visualisé par ledit premier terminal de communication,
- enregistrement de ladite au moins une identification de service dans une mémoire du dispositif de fourniture de services, ladite au moins une identification de service étant liée à l’identifiant du premier terminal de communication et à l’identifiant du compte client.
Selon un mode de réalisation, le procédé comporte en outre une étape de transmission d’un minimessage au premier terminal de communication pour confirmer l’enregistrement de ladite au moins une identification de service dans la mémoire du dispositif de fourniture de services.
L’invention a également pour objet un procédé d’installation sur un premier terminal de communication d’un contrôle d’accès à des services, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le premier terminal de communication connecté au réseau de communication :
- réception d’un code d’installation provenant du dispositif de fourniture de services,
- téléchargement sur le premier terminal de communication d’une application de contrôle d’accès,
- génération d’un code d’authentification par l’application d’authentification après authentification d’une donnée biométrique du propriétaire du premier terminal de communication ou après authentification d’un numéro d’identification personnel saisi sur le premier terminal de communication,
- transmission du code d’installation, du code d’authentification généré et de l’identifiant du premier terminal de communication vers le dispositif de fourniture de services.
Avantageusement, l’application de contrôle d’accès peut être facilement installée. Avantageusement, il est possible d’installer plusieurs applications de contrôle d’accès, chaque application de contrôle d’accès étant propre à un dispositif de fourniture de services différents. Selon un mode de réalisation, ledit code d’authentification du premier terminal de communication est généré uniquement après authentification d’une donnée biométrique du propriétaire du premier terminal de communication.
Brève description des figures
[Fig. 1] est une vue schématique d’un exemple d’un système de contrôle d’accès à des services, le système comprenant un dispositif de fourniture de services et un terminal de communication utilisateur selon l’invention,
[Fig. 2] est un tableau représentant un exemple de données stockées dans deux comptes clients d’une base de données du dispositif de fourniture de services selon l’invention ;
[Fig. 3] est un chronogramme représentant les principales étapes d’un procédé d’enrichissement d’une base de données et d’un procédé d’installation d’un contrôle d’accès sur un premier terminal de communication ;
[Fig. 4] est un chronogramme représentant les principales étapes du procédé de contrôle d’accès selon l’invention mis en œuvre par le dispositif de fourniture de services et représentant les principales étapes du procédé de confirmation d’une demande d’accès à un service par un premier terminal de communication ; et [Fig. 5] est un chronogramme représentant les principales étapes de mise en œuvre de la fonction autorisation sur demande.
Description détaillée de l’invention
Dans la présente demande de brevet, un terminal de communication appartenant à un utilisateur ayant souscrit à un abonnement aux services proposés par un dispositif de fourniture de services est appelé « deuxième terminal de communication ». Un autre terminal de communication appartenant à un utilisateur distinct de l’utilisateur ayant souscrit à l’abonnement est appelé « premier terminal de communication ». Le premier terminal de communication bénéficie d’un accès aux services par le biais d’une autorisation d’usage donnée par l’utilisateur du deuxième terminal de communication. Les procédés selon l’invention sont mis en œuvre dans un système de contrôle d’accès 1 tel que le système représenté sur la figure 1 . En référence à la figure 1 , le système de contrôle d’accès 1 comporte un réseau de communication 12, un deuxième terminal de communication 2 connecté au réseau 12, un premier terminal de communication 6 connecté au réseau 12 et éventuellement un ou plusieurs systèmes de reproduction 28 également connecté(s) au réseau 12. Le réseau de communication 12 est par exemple un réseau Internet. Dans ce contexte, les échanges sont conformes au protocole Internet.
Les terminaux de communication 2,6 sont, par exemple, des téléphones mobiles de type intelligent (en anglais « Smartphone »). Ils comportent une unité 16 de communication au réseau 12, un écran d’affichage 22, une carte SIM, USIM, ou une carte microSIM. Ils peuvent être connectés au réseau de communication 12 par l’intermédiaire d’un réseau d’accès sans fil, tel qu’un réseau mobile GSM, UMTS, 3G, 4G, 5G, etc.
Les terminaux de communication 2, 4 comprennent en mémoire une application d’authentification 18 adaptée pour mettre en œuvre les étapes d’un procédé d’authentification sur la base de la reconnaissance d’un numéro d’identification personnel (aussi appelé code pin) ou sur la base de la reconnaissance d’un élément biométrique tel que l’empreinte digitale. Dans ce dernier cas, les terminaux de communication 2, 4 sont équipés d’un capteur d’empreinte, d’un module d’analyse rétinienne, et/ou d’un module de reconnaissance faciale. Lorsque le code pin ou la donnée biométrique est reconnue, l’application d’authentification est configurée pour vérifier que cette donnée biométrique est bien identique à celle du titulaire du terminal de communication. Lorsque cette donnée biométrique est identique à celle du titulaire du terminal de communication, l’application d’authentification génère un code d’authentification AUTC2, AUTU6. Ce code d’authentification est propre à chaque terminal de communication. Dans le cadre de l’invention, l’acceptation de la donnée biométrique est utilisée pour authentifier le terminal de communication. La donnée biométrique en elle-même n’est pas utilisée et n’est pas stockée dans la mémoire du terminal de communication.
Enfin, les terminaux de communication 2, 4 comprennent en mémoire une application 20 de contrôle d’accès configurer pour commander l’application d’authentification 18 et pour transmettre et recevoir des messages ou notification par l’intermédiaire de l’unité de communication 16. L’application 20 de contrôle d’accès est adaptée pour mettre en œuvre les étapes d’un procédé d’installation d’un contrôle d’accès sur un premier terminal de communication, ainsi les étapes d’un procédé de confirmation d’une demande d’accès. Ces procédés sont décrits ci-après. Chaque système de reproduction 28 comporte une unité de communication 16 au réseau de communication et un écran d’affichage 22. Le système de reproduction 28 peut par exemple être constitué par soit par un terminal de reproduction tel que un ordinateur personnel 30, une tablette ou une télévision directement connecté au réseau de communication, soit par un ensemble 32 comprenant une télévision 32 connecté par liaison filaire ou non filaire au décodeur TV. Le système de reproduction peut être utilisé par différents utilisateurs. Le terminal de reproduction est distinct du premier terminal de communication 6.
Le système de contrôle d’accès 1 comporte en outre un dispositif de fourniture de services 10 connecté au réseau 12. Le dispositif de fourniture de services est un serveur web qui héberge des services en ligne payant. Ces services comprennent la fourniture de contenus multimédias tels que par exemple de la télévision payante, des jeux vidéo, des films, de la musique, des vidéos (replay, VOD), des services de domotique. Les services sont des services web. Ils peuvent être obtenus au moyen d’un navigateur exécuté sur les terminaux de communication ou sur un système de reproduction. Le dispositif de fourniture de services comporte des pages web permettant de recevoir des requêtes et de transmettre des informations à des terminaux de communication de type téléphones mobiles ou à des systèmes de reproduction 28 de façon à fournir le service considéré.
Enfin, le dispositif de fourniture de services 10 comporte ou est lié à une mémoire stockant une base de données 14. Dans le mode de réalisation représenté sur la figure 1 , la base de données est stockée dans le serveur fournisseur de services. Le mode de réalisation représenté sur la figure 1 n’est nullement limitatif.
La base de données 14 stocke des comptes clients C2, C4. La figure 2 représente un exemple de deux comptes clients C2, C4. Le compte-client C2 souscrit par le deuxième terminal de communication 2, est identifié par un identifiant référencé « ID2- Compte ». Le compte-client C4 souscrit par le deuxième terminal de communication 4 est identifié par un identifiant différent référencé « ID4-Compte ». Chaque compte client comprend des données d’identification liées à l’identifiant du compte client. Par exemple, les données d’identification contenues dans le compte client C2, comportent : un identifiant IDC2 du deuxième terminal de communication 2, - un code d’authentification AUTC2 du deuxième terminal de communication, un code d’installation CD2, et pour chaque premier terminal de communication ayant un droit d’usage du compte client C2,
- un identifiant du premier terminal de communication - par exemple les identifiants IDU6, IDU8 des premiers terminaux de communication 6, 8,
- un code d’authentification du premier terminal de communication - par exemple les codes d’authentification AUTU6, AUTU8 des premiers terminaux de communication 6, 8
- des identifications de service C1 , C4, V autorisé pour le premier terminal de communication - par exemple les identifications de service C1 , C4, V pour le premier terminal de communication 6 et les identifications de service C5, C7, JV autorisé pour le premier terminal de communication 8, et éventuellement une autorisation sur demande SD.
L’ensemble des données d’identification sont liées à l’identifiant du compte client, par exemple à l’identifiant « ID2-Compte » dans l’exemple décrit ci-dessus. Le doit d’usage est la possibilité offerte à un client titulaire d’un compte client de partager les services acquis par l’intermédiaire de la souscription à son compte client avec des utilisateurs de terminaux de communication. Une liste des identifiants des premiers terminaux de communication ayant ce droit d’usage est transmise par le titulaire du compte client au serveur fournisseur de services. La demande de brevet FR 2008839 au nom de la demanderesse décrit un exemple de mise en œuvre d’un tel droit d’usage.
L’identifiant du deuxième terminal de communication 2 est, par exemple, le numéro de téléphone du deuxième terminal de communication 2. L’identifiant du premier terminal de communication 6 est, par exemple, le numéro de téléphone du premier terminal de communication 6. En variante, l’identifiant du deuxième terminal de communication et l’identifiant du premier terminal de communication peuvent être leur numéro d’identité internationale d’abonné mobile IMSI.
Les codes d’authentification AUTC2, AUTU6 sont générés par les applications d’authentification 18 après authentification d’une donnée biométrique du propriétaire du deuxième terminal de communication ou du premier terminal de communication. Les codes d’authentification peuvent également être générés après authentification d’un numéro d’identification personnel saisi sur le deuxième terminal de communication ou sur le premier terminal de communication. Le code d’installation CD2 est un code temporaire généré par un générateur de code 24. Il est propre à chaque compte client. Il n’est utilisé que lors de l’installation d’un contrôle d’accès sur un premier terminal de communication et lors de l’enrichissement de la base de données 14 par ajout d’un ou plusieurs nouveaux premiers terminaux de communication comme explicité ultérieurement en liaison avec le procédé illustré sur la figure 3.
Les identifications de service C1 , C4, V sont constituées par des codes permettant d’identifier les services. Par exemple, les codes C1 , C4 représentent les chaînes de télévision 1 et 4. Les codes V et JV représentent un service de vidéo et respectivement un service de jeux vidéo. Le code M représente un service de musique.
L’autorisation sur demande SD est une fonction permettant au titulaire du compte client de donner des autorisations d’usage ponctuelles et non permanentes. Selon ce service, le titulaire du compte reçoit un message de demande d’autorisation d’accès à un service à chaque fois qu’un premier terminal de communication 6 ou qu’un système de reproduction 28 transmet une demande de service au serveur fournisseur de services. Le titulaire du compte client peut alors autoriser ou refuser le service. Ce refus ou cette acceptation n’est valable que pour cette demande d’autorisation d’accès. Le premier terminal de communication 6 ou le système de reproduction 28 devra refaire une demande d’autorisation d’accès lorsqu’il souhaitera à nouveau avoir accès à ce service. Et le deuxième terminal de communication pourra accepter ou refuser cette nouvelle demande quel que soit le choix (acceptation ou refus) qu’il aura fait lors de la première demande d’autorisation d’accès. L’autorisation sur demande SD est une fonction qui est mise en œuvre uniquement sur les services mentionnés pour un premier terminal de communication donné dans le compte client. Ces services auront préalablement été mentionnés par le deuxième terminal de communication. Le procédé de mise en œuvre de l’autorisation sur demande SD sera décrit ultérieurement en liaison avec la figure 5. Le dispositif de fourniture de services 10 comporte également au moins un générateur 24 d’un code d’installation propre à générer des codes temporaires spécifiques pour chaque compte client. Ces codes temporaires comprennent par exemple quatre chiffres. Dans le mode de réalisation représenté à titre d’exemple, chaque compte client comporte un générateur 24 de code d’installation. En variante, le dispositif de fourniture de services comporte un unique générateur propre à générer des codes d’installation pour l’ensemble des comptes clients.
Le système de contrôle d’accès 1 comporte un serveur 26 connecté au réseau 12. Ce serveur 26 comporte une application de contrôle d’accès 20 qui peut être distribuée sous gestion de terminaux mobiles, aussi appelée application MDM (de l’anglais « Mobile Device Management »). Cette application de contrôle d’accès 20 est propre à être téléchargée sur des premiers terminaux de communication ou sur des deuxièmes terminaux de communication. Selon une variante non représentée, l’application de contrôle d’accès 20 à télécharger, est stockée sur le dispositif de fourniture de services 10. La figure 3 illustre les étapes d’un procédé d’enrichissement de la mémoire du dispositif 10 et notamment de la base de données 14 et d’un procédé d’installation d’un contrôle d’accès à des services sur le premier terminal de communication 6. On suppose que au moins un compte client 2 est déjà créé et qu’il comporte déjà les données d’identification suivantes : un identifiant IDC2 du deuxième terminal de communication, un code d’authentification AUTC2 du deuxième terminal de communication, un identifiant IDU6, IDU8 des premiers terminaux de communication ayant un droit d’usage du compte client, et un code d’authentification AUTU6, AUTU8 des premiers terminaux de communication ayant un droit d’usage du compte client.
La figure 3 illustre un exemple de mise en œuvre du procédé d’enrichissement de la base de données 14 dans lequel le titulaire du compte client C2 souscrit par le propriétaire du deuxième terminal de communication 2 demande un contrôle d’accès aux services fournis au premier terminal de communication 6 et au premier terminal de communication 8.
Le procédé d’enrichissement de la base de données 14, débute par une étape 68 au cours de laquelle le dispositif de fourniture de services 10 réceptionne un message contenant l’identifiant ID2-Compte du compte client, l’identifiant IDU6, IDU8 des premiers terminaux de communication 6,8 et des identifications de service associées au premier terminal de communication 6 et au premier terminal de communication 8. Seuls les services ayant les identifications contenues dans le message sont autorisés à être visualisés par le premier terminal de communication qui leur est associé. Le message comporte, par exemple, les identifications de service C1 , C2 et V associées au premier terminal de communication 6 et les identifications de service C5, C7 et JV associées au premier terminal de communication 8. Les identifications de service C1 , C2 et V correspondent aux chaine 1 , chaine 2 et contenu vidéo. Les identifications de service C5, C7 et JV correspondent aux chaine 5, chaine 7 et jeux vidéo. Le message peut également comporter une fonction « autorisation sur demande » SD liée à une identification de service et à une identification de premier terminal de communication. L’étape 68 de transmission de l’identifiant du compte client, de l’identifiant du premier terminal de communication, des identifications de service et éventuellement de la fonction « autorisation sur demande » SD peut être mise en œuvre :
- soit à l’aide de la télécommande d’un téléviseur directement connecté au réseau de communication 12 ou connecté au réseau par l’intermédiaire d’un boitier d’accès (décodeur TV ou « set top box » en anglais),
- soit par la saisi de données dans le compte client C2 par le deuxième terminal de communication 2, une tablette ou un ordinateur personnel après saisi de l’identifiant et d’un mot de passe du titulaire du compte. La transmission du code d’authentification AUTC2 du deuxième terminal de communication ne peut être réalisée que à partir du deuxième terminal de communication 2
Le dispositif de fourniture de services enregistre, au cours d’un étape 72, les identifications de service C1 , C2, V dans la base de données 14 de manière à ce que ceux-ci soient liées à l’identifiant « ID2-Compte » du compte client C2 et à l’identifiant IDU6 du premier terminal de communication. De la même façon, les identifications de service C5, C7 et JV sont enregistrés dans la base de données 14 de manière à ce que ceux-ci soient liées à l’identifiant « ID2-Compte » du compte client C2 et à l’identifiant IDU8 du premier terminal de communication. Enfin, lorsqu’elle est présente, la fonction « autorisation sur demande » SD est enregistrée en lien avec l’identifiant du compte client « ID2-Compte », avec l’identifiant IDU6 du premier terminal de communication et avec l’identification de service associée. Dans l’exemple illustré sur la figure 2, la fonction « autorisation sur demande » a été demandée par le deuxième terminal de communication 2 pour le service de vidéo V pour le premier terminal de communication 6 identifié par l’identifiant IDU6. La fonction autorisation sur demande SD a été demandée par le deuxième terminal de communication 2 pour le service de jeux vidéo JV pour le premier terminal de communication 8 identifié par l’identifiant IDU8.
Dans la présente demande, les identifications de service C1 , C4 et V et la fonction autorisation sur demande SD associée constitue « le profil » du premier terminal de communication identifié par l’identifiant IDU6. Les identifications de service C5, C7 et JV et la fonction autorisation sur demande SD associée constitue « le profil » du premier terminal de communication 8 identifié par l’identifiant IDU8. Au cours d’une étape 74, le générateur 24 génère un code d’installation CD2. Au cours d’une étape 76, le dispositif de fourniture de services enregistre le code d’installation CD2 dans le compte client C2 de manière à ce que ce code soit lié ou couplé à l’identifiant du compte client « ID2-Compte ».
Au cours d’une étape 78, le dispositif de fourniture de services 10 transmet un minimessage au premier terminal de communication 6 et un minimessage au premier terminal de communication 8. Ces minimessages comportent le code d’installation CD2. Pour simplifier la figure 3, seul le premier terminal de communication 6 a été représenté sur celle-ci.
Au cours d’une étape 79, le premier terminal de communication 6 réceptionne le minimessage transmis par le dispositif de fourniture de services. Au cours d’une étape 80, le premier terminal de communication 6 télécharge une application de contrôle d’accès 20 d’un serveur 26.
Au cours d’une étape 82, l’utilisateur du premier terminal de communication 6 enregistre le code d’installation CD2 reçu par minimessage dans l’application de contrôle d’accès 20.
Au cours d’une étape 84, l’utilisateur du premier terminal de communication 6 fait une capture d’une donnée biométrique telle qu’une capture d’une empreinte. L’application d’authentification 18 vérifie que cette donnée biométrique est bien identique à celle du titulaire du premier terminal de communication. Lorsque cette donnée biométrique est identique à celle du titulaire du premier terminal de communication, l’application d’authentification 18 génère un code d’authentification AUTU6. En variante, l’utilisateur du premier terminal de communication 6 saisi un numéro d’identification personnel dans l’application d’authentification 18 qui génère un code d’authentification AUTU6 si ce numéro d’identification personnel est reconnu. Au cours d’une étape 85, le premier terminal de communication 6 transmet un message au dispositif de fourniture de services 10. Ce message comporte le code d’installation CD2, le code d’authentification AUTU6 généré au cours de l’étape 84 et l’identifiant IDU6 du premier terminal de communication 6. Au cours d’une étape 86, le dispositif de fourniture de services 10 réceptionne le message comportant le code d’installation CD2, le code d’authentification AUTU6 du premier terminal de communication et l’identifiant IDU6 du premier terminal de communication.
Au cours d’une étape 88, le dispositif de fourniture de services enregistre le code d’authentification réceptionnée AUTU6 dans la base de données 14 de manière que celui-ci soit lié à l’identifiant du compte client et à l’identifiant IDU6 du premier terminal de communication. Pour réaliser ce lien entre le code d’authentification du premier terminal de communication et l’identifiant du compte client, le dispositif de fourniture de services utilise le code d’installation CD2.
Au cours d’une étape 90, le dispositif de fourniture de services transmet un minimessage au premier terminal de communication 6 pour confirmer l’enregistrement dans la base de données 14.
Les étapes 79 à 90 sont également mises en œuvre avec le premier terminal de communication 8.
En variante, le code d’authentification AUTU6 du premier terminal de communication est généré uniquement après authentification d’une donnée biométrique du propriétaire du premier terminal de communication 6. Avantageusement, cette variante est plus sécurisée car elle permet de garantir que c’est bien le propriétaire du premier terminal de communication qui réalise la demande d’authentification.
Le procédé d’installation d’un contrôle d’accès à des services sur le premier terminal de communication 6 comprend les étapes 79, 80, 82, 84 et 85 mentionnées ci-dessus. Lorsque la base de données 14 comprend les données d’identification des premiers terminaux de communication 6 et 8 et que ces premiers terminaux de communication comporte l’application de contrôle d’accès 20, le procédé de contrôle d’accès à des services peut être mis en œuvre par le dispositif de fourniture de services 10.
Ce procédé de contrôle d’accès à des services va être décrit en liaison avec la figure 4.
Le procédé débute lorsqu’un utilisateur se connecte à un compte client à partir d’un système de reproduction 28. Ce système de reproduction 28 est par exemple un ensemble 32 comprenant un téléviseur connecté à un décodeur TV ou « set top box » en anglais. Des profils s’affichent sur l’écran du téléviseur. L’utilisateur sélectionne son profil à l’aide de sa télécommande. Le dispositif de fourniture de services 10 reçoit alors au cours d’une étape 52, une demande de service du système de reproduction 28. La demande de service comprend l’identifiant IDC2 du compte client et l’identifiant IDU6 du premier terminal de communication 6 lié au profil sélectionné par l’utilisateur. Au cours d’une étape 54, le dispositif de fourniture de services transmet une confirmation par minimessage au premier terminal de communication 6.
Au cours d’une étape 55, le premier terminal de communication 6 réceptionne le minimessage. Puis, l’utilisateur du premier terminal de communication 6 fait une capture d’une donnée biométrique tel qu’une capture d’une empreinte. L’application d’authentification 18 vérifie que cette donnée biométrique est bien identique à celle du titulaire du terminal de communication. Lorsque cette donnée biométrique est identique à celle du titulaire du terminal de communication, l’application d’authentification 18 génère un code d’authentification AUTU6. En variante, l’utilisateur du premier terminal de communication 6 saisi un numéro d’identification personnel dans l’application d’authentification 18 qui génère un code d’authentification AUTU6 si ce numéro d’identification personnel est reconnu. Au cours d’une étape 56, le premier terminal de communication 6 transmet un code d’authentification AUTU6 au dispositif de fourniture de services 10. Au cours d’une étape 57, le dispositif de fourniture de services 10 réceptionne le code d’authentification AUTU6 provenant du premier terminal de communication 6.
Au cours d’une étape 58, le dispositif de fourniture de services 10 compare le code d’authentification AUTU6 réceptionné au code d’authentification AUTU6 enregistré dans sa base de données 14 et lié à l’identifiant du premier terminal de communication 6.
Si le code d’authentification AUTU6 réceptionné est identique au code d’authentification AUTU6 stocké dans la base de données 14 et lié à l’identifiant IDC2 du compte client, le dispositif de fourniture de services 10 autorise, au cours d’une étape 60, l’accès aux services identifiés dans le profil du premier terminal de communication.
Le procédé de confirmation auprès d’un dispositif de fourniture de services 10 d’une demande d’accès à un service de visualisation, comporte les étapes 55 et 56 mentionnée ci-dessus.
En référence à la figure 5, lorsqu’un service est lié à la fonction « autorisation sur demande » SD, le procédé comporte en outre une étape 62 au cours de laquelle le dispositif de fourniture de services transmet une demande d’autorisation sur demande SD, par minimessage, au deuxième terminal de communication 2.
Au cours d’une étape 63, le propriétaire du deuxième terminal de communication 2 saisi une réponse parmi l’acceptation ou le refus et fait une capture d’une donnée biométrique ou saisi un code pin. Si cette donnée biométrique ou ce code pin est reconnu, l’application d’authentification 18 génère un code d’authentification AUTC2. Puis, le premier terminal de communication transmet au dispositif de fourniture de services la réponse et le code d’authentification AUTC2 du deuxième terminal de communication 2.
Au cours d’une étape 64, le dispositif de fourniture de services réceptionne la réponse et le code d’authentification AUTC2 du deuxième terminal de communication, Puis, le dispositif de fourniture de services 10 met en œuvre de la réponse au cours d’une étape 60, si le code d’authentification réceptionné AUTC2 est identique au code d’authentification AUTC2 du deuxième terminal de communication stocké dans le compte client.
Avantageusement, un utilisateur peut avoir son identifiant de terminal de communication enregistré chez plusieurs titulaires de compte client comme représenté sur la figure 2. L’utilisateur du terminal de communication identifié par l’identifiant IDU6 est enregistré chez le même fournisseur de services. Ces profils de télévision sont différents d’un compte client à l’autre. Ces accès aux services fournis par le dispositif de fourniture de services sont gérés par la même application de contrôle d’accès 20. Avantageusement, le premier terminal de communication d’une garde d’enfants à domicile ne pourrait accéder qu’à des chaînes pour enfants choisies par le parent titulaire du compte client. Ainsi, la garde d’enfant à domicile ne pourrait pas regarder des programmes inappropriés pour l’enfant.
Lorsque l’identifiant du premier terminal de communication est enregistré chez deux fournisseur de services différents, le premier terminal de communication doit télécharger sur son premier terminal de communication deux applications de contrôle d’accès différentes chacune propre à un fournisseur de services.

Claims

REVENDICATIONS Procédé de contrôle d’accès à des services, les services étant fournis par un dispositif de fourniture de services (10) à destination d’un système de reproduction, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le dispositif de fourniture de services (10):
- transmission (54) d’une requête de confirmation à un premier terminal de communication (6) associé à un compte client dans le dispositif de fourniture de services, suite à une réception (52) d’une demande d’accès à au moins un service, la demande d’accès provenant du système de reproduction (28) et comprenant un identifiant dudit compte client (ID2-Compte, ID4-Compte),
- puis, accès (60) audit au moins un service si un code d’authentification (AUTU6) reçu en provenance dudit premier terminal de communication (6) est identique à un code d’authentification (AUTU6) associé au compte client. Procédé de contrôle d’accès selon la revendication 1 , dans lequel la demande d’accès audit au moins un service reçue, a été émise par un dispositif parmi les suivants :
- le premier terminal de communication (6),
- un système de reproduction (28) comportant une unité de communication (16) au réseau de communication et un écran d’affichage (22). Procédé de contrôle d’accès selon l’une quelconque des revendications 1 à 3, dans lequel le compte client (C2, C4) comporte au moins une identification de service (C1 , C2, V) liée à l’identifiant (IDU6) du premier terminal de communication (6) et à l’identifiant du compte client (ID2-Compte, ID4-Compte), ledit accès étant donné au terminal de communication identifié uniquement pour au moins le service ayant une identification de service (C1 , C2, V) mentionnée dans le compte client (C2, C4) et liée à l’identifiant (IDU6) du premier terminal de communication (6). Procédé de contrôle d’accès selon l’une quelconque des revendications 1 à 3, dans lequel le compte client comporte un identifiant (IDC2) d’un deuxième terminal de communication (2) ayant souscrit au compte client et un code d’authentification (AUTC2) dudit deuxième terminal de communication, et dans lequel le compte client (C2, C4) comporte une autorisation sur demande (SD), le procédé comportant en outre les étape suivantes : - transmission (62) d’une demande d’autorisation au deuxième terminal de communication (2),
- réception (64) d’une réponse et d’un code d’authentification (AUTC2) du deuxième terminal de communication, ladite réponse étant un droit d’accès au service parmi les suivants :
+ une autorisation d’accès au service,
+ un refus d’accès au service,
- mise en œuvre de la réponse si le code d’authentification réceptionné (AUTC2) est identique au code d’authentification (AUTC2) du deuxième terminal de communication stocké dans le compte client. Dispositif de fourniture de services (10) fournissant des services à destination d’un système de reproduction (28), le dispositif de fourniture de services comportant :
- un transmetteur de requête de confirmation à un premier terminal de communication (6) associé à un compte client dans le dispositif de fourniture de services, suite à une réception (52) d’une demande d’accès à au moins un service, la demande d’accès provenant du système de reproduction (28) et comprenant un identifiant dudit compte client (ID2-Compte, ID4-Compte),
- un fournisseur d’accès audit au moins un service si un code d’authentification (AUTU6) reçu en provenance dudit premier terminal de communication est identique à un code d’authentification (AUTU6) associé au compte client. Procédé de confirmation auprès d’un dispositif de fourniture de services (10) d’une demande d’accès à au moins un service, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le premier terminal de communication (6) :
- réception (55) d’une demande de confirmation provenant du dispositif de fourniture de services (10),
- transmission (56) d’un code d’authentification (AUTU6) au dispositif de fourniture de services (10), ledit code d’authentification étant généré par une application d’authentification (18) après une authentification (55) parmi les suivantes :
+ authentification d’une donnée biométrique du propriétaire du premier terminal de communication (6), 19
+ authentification d’un numéro d’identification personnel saisi sur le premier terminal de communication (6). Procédé de confirmation selon la revendication 6, dans lequel ledit code d’authentification (AUTU6) du premier terminal de communication est généré uniquement après authentification d’une donnée biométrique du propriétaire du premier terminal de communication (6). Terminal de communication (6) caractérisé en ce qu’il comporte en outre une application (20) de contrôle d’accès propre à réceptionner une demande de confirmation et à transmettre (56) un code d’authentification (AUTU6) généré par une application d’authentification (18) après une authentification (55) parmi les suivantes
+ authentification d’une donnée biométrique du propriétaire du premier terminal de communication (6)
+ authentification (55) d’un numéro d’identification personnel saisi sur le premier terminal de communication (6). Procédé d’enrichissement d’une mémoire d’un dispositif de fourniture de services (10) pour contrôler l’accès à des services, ledit dispositif de fourniture de services (10) étant connecté à un réseau de communication (12), ledit dispositif de fourniture de services (10) comportant un générateur (24) propre à générer un code d’installation (CD2,CD4), caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le dispositif de fourniture de services :
- génération (74) d’un code d’installation (CD2,CD4) et enregistrement dudit code d’installation en l’associant à l’identifiant du compte client,
- transmission (78) dudit code d’installation (CD2,CD4) au premier terminal de communication (6),
- réception (86) d’un message provenant du premier terminal de communication (6), ledit message comportant le code d’authentification (AUTU6) du premier terminal de communication (6), l’identifiant du premier terminal de communication (IDU6) et ledit code d’installation (CD2,CD4),
- enregistrement (88) du code d’authentification réceptionné dans une mémoire du dispositif de manière que ledit code d’authentification (AUTU6) soit associé à l’identifiant du compte client (ID2-Compte, ID4-Compte) et à l’identifiant (IDU6) du premier terminal de communication en utilisant le code d’installation. 20 Procédé d’enrichissement selon la revendication 9, qui comporte en outre les étapes suivantes :
- réception (68) de l’identifiant (ID2-Compte, ID4-Compte) du compte client, de l’identifiant (IDU6) du premier terminal de communication et d’au moins une identification de service (C1 , C2, V), seul le service ayant ladite identification étant autorisé à être visualisé par ledit premier terminal de communication (6),
- enregistrement (72) de ladite au moins une identification de service (C1 , C2, V) dans une mémoire du dispositif de fourniture de services, ladite au moins une identification de service (C1 , C2, V) étant liée à l’identifiant (IDU6) du premier terminal de communication (6) et à l’identifiant (ID2-Compte, ID4-Compte) du compte client. Procédé d’enrichissement selon l’une quelconque des revendications 9 et 10, qui comporte en outre une étape de transmission (90) d’un minimessage au premier terminal de communication (6) pour confirmer l’enregistrement (72) de ladite au moins une identification de service (C1 , C2, V) dans la mémoire du dispositif de fourniture de services. Procédé d’installation sur un premier terminal de communication (6) d’un contrôle d’accès à des services, caractérisé en ce que le procédé comporte les étapes suivantes mises en œuvre par le premier terminal de communication (6) connecté au réseau de communication :
- réception (79) d’un code d’installation (CD2, CD4) provenant du dispositif de fourniture de services (10),
- téléchargement (80) sur le premier terminal de communication (6) d’une application de contrôle d’accès,
- génération (84) d’un code d’authentification (AUTU6) par l’application d’authentification (18) après une authentification (55) parmi les suivantes :
+ authentification d’une donnée biométrique du propriétaire du premier terminal de communication (6)
+ authentification d’un numéro d’identification personnel saisi sur le premier terminal de communication (6),
- transmission (85) du code d’installation (CD2, CD4), du code d’authentification (AUTU6) généré et de l’identifiant (IDU6) du premier terminal de communication vers le dispositif de fourniture de services (10). 21 Procédé d’installation selon la revendication 13, dans lequel ledit code d’authentification (AUTU6) du premier terminal de communication est généré uniquement après authentification d’une donnée biométrique du propriétaire du premier terminal de communication (6).
EP21798073.9A 2020-09-30 2021-09-24 Procede de controle d'acces a des services, procedes associes et dispositifs associes Pending EP4222620A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR2009999A FR3114666A1 (fr) 2020-09-30 2020-09-30 Procédé de contrôle d’accès à des services, procédés associés et dispositifs associés
PCT/FR2021/051654 WO2022069823A1 (fr) 2020-09-30 2021-09-24 Procede de controle d'acces a des services, procedes associes et dispositifs associes

Publications (1)

Publication Number Publication Date
EP4222620A1 true EP4222620A1 (fr) 2023-08-09

Family

ID=76730575

Family Applications (1)

Application Number Title Priority Date Filing Date
EP21798073.9A Pending EP4222620A1 (fr) 2020-09-30 2021-09-24 Procede de controle d'acces a des services, procedes associes et dispositifs associes

Country Status (5)

Country Link
US (1) US20230396627A1 (fr)
EP (1) EP4222620A1 (fr)
CN (1) CN116685970A (fr)
FR (1) FR3114666A1 (fr)
WO (1) WO2022069823A1 (fr)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US12309152B2 (en) * 2023-08-15 2025-05-20 Citibank, N.A. Access control for requests to services

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CH465456A (de) 1968-05-20 1968-11-15 Rieter Ag Maschf Zwirnmaschine
CN103369391B (zh) 2007-11-21 2016-12-28 高通股份有限公司 基于媒体偏好控制电子设备的方法和系统
US8442498B2 (en) * 2008-12-19 2013-05-14 Verizon Patent And Licensing Inc. Methods, systems and computer program products for remote DVR interface provisioning
US9537661B2 (en) * 2014-02-28 2017-01-03 Verizon Patent And Licensing Inc. Password-less authentication service
US20170085563A1 (en) * 2015-09-18 2017-03-23 First Data Corporation System for validating a biometric input
US10110608B2 (en) * 2016-01-07 2018-10-23 Google Llc Authorizing transaction on a shared device using a personal device

Also Published As

Publication number Publication date
CN116685970A (zh) 2023-09-01
FR3114666A1 (fr) 2022-04-01
US20230396627A1 (en) 2023-12-07
WO2022069823A1 (fr) 2022-04-07

Similar Documents

Publication Publication Date Title
BE1009081A4 (fr) Methode et systeme de distribution de signaux a des abonnes en regle.
US8255981B2 (en) System and method of authentication
WO2008049792A2 (fr) Méthode de chargement et de gestion d'une application dans un équipement mobile
FR2985130A1 (fr) Procede de partage d'un contenu multimedia entre au moins un premier utilisateur et un second utilisateur sur un reseau de telecommunications
EP1454489A1 (fr) Protocole de controle du mode d acces a des donnees transmises en mode point a point ou point multi-point
EP2795870B1 (fr) Procede d'acces par un terminal de telecommunication a une base de donnees hebergee par une plateforme de services accessible via un reseau de telecommunications
EP1867190B1 (fr) Gestion d'acces a des contenus multimedias
EP4222620A1 (fr) Procede de controle d'acces a des services, procedes associes et dispositifs associes
FR3117295A1 (fr) Procédé de gestion d’une demande d’accès à un réseau de communication local, procédé de traitement d’une demande d’accès à un réseau de communication local, procédé de demande d’accès à un réseau de communication local, dispositifs, plateforme de gestion, passerelle, terminal utilisateur, système et programmes d’ordinateur correspondants.
EP1552694B1 (fr) Systeme de dechiffrement de donnees a acces conditionnel
EP1983722A2 (fr) Procédé et système de sécurisation d'accès internet de téléphone mobile, téléphone mobile et terminal correspondants
FR2946212A1 (fr) Dispositif et procede d'interfacage d'au moins un terminal de stockage et de tranmission de donnees avec au moins un support de transmission de donnees
WO2003071760A1 (fr) Dispositif et procede d'intermediation entre fournisseurs de services et leur utilisateurs
FR2955450A1 (fr) Procede d'authentification d'un terminal mobile pour acceder a un serveur d'applications
FR3113801A1 (fr) Procédé de fourniture à un terminal de communication tiers d’une autorisation d’usage d’un compte client, procédés associés et dispositifs associés
EP3235255B1 (fr) Dispositif et procede de gestion des priorites pour le telechargement de contenus multimedia
EP1326399B1 (fr) Procédé de sécurisation déportée d'un téléchargement de données actives dans un terminal
EP3228083B1 (fr) Procédé de gestion du droit d'accès a un contenu numérique
EP2907316A1 (fr) Gestion de profils pour la television numerique
WO2021044102A1 (fr) Procédé pour activer des droits d'accès à un service auquel a souscrit un abonné
FR3136921A1 (fr) Gestion de l’authentification d’un terminal pour accéder à un service d’un fournisseur de service.
FR2972882A1 (fr) Procede de transfert et de comptabilisation de tags, et dispositif correspondant
FR2811504A1 (fr) Dispositif serveur de realisation multi-utilisateur en libre-service et de diffusion d'emissions de television et reseau de television
FR2863440A1 (fr) Procede et dispositif de filtrage de flux multimedia.
FR2913168A1 (fr) Procede,dispositif et systeme multimedia maille, reconfigurable et adapte aux latentes evolutions des besoins de services et de performances

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20230403

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
RAP3 Party data changed (applicant data changed or rights of an application transferred)

Owner name: ORANGE