FR2736735A1

FR2736735A1 - Systeme de chargement du logiciel dans des organes de telephonie et notamment dans des publiphones

Info

Publication number: FR2736735A1
Application number: FR9508390A
Authority: FR
Inventors: Mireille Campana; Modiano David Arditti; Ronan Tallec
Original assignee: Individual
Current assignee: Individual
Priority date: 1995-07-11
Filing date: 1995-07-11
Publication date: 1997-01-17
Anticipated expiration: 2015-07-11
Also published as: FR2736735B1

Abstract

L'invention concerne un système de chargement de logiciel dans des organes de téléphonie et notamment dans des publiphones. Selon l'invention le chargement se fait à partir d'un serveur de téléchargement (STL) connecté au réseau de commutation (RC). Les publiphone (TTPn) ou unités de raccordement (URP) sont équipés de moyens de détection d'appel (ou d'initialisation d'appel), de moyens de mémorisation des logiciels reçus et de moyens de sécurisation du téléchargement. Le serveur STL est équipé de moyens de stockage des logiciels, de détection d'appel (ou d'initialisation d'appel) et de sécurisation du téléchargement.

Description

SYSTEME DE CHARGEMENT DE LOGICIEL DANS DES ORGANES DE
TELEPHONIE ET NOTAMMENT DANS DES PUBLIPHONES
L'invention concerne un système de chargement de logiciels dans des organes de téléphonie et notamment dans des publiphones ou dans tout type de terminaux de téléphonie publics ou privés.

Elle s'applique également au chargement de logiciels dans des unités de raccordement de ces terminaux téléphoniques aux centraux téléphoniques.

On entend par publiphone des appareils publics de téléphonie. Ces appareils sont de plus en plus à paiement par cartes.

En raison de fonctions nouvelles et pour leur gestion, les publiphones sont organisés sous forme d'un réseau dans lequel à travers ie réseau téléphonique, chaque publiphone est connecté à des unités de commande.

On peut ainsi concevoir un réseau de publiphones composé de la manière suivante
- Les terminaux téléphoniques sont disséminés sur le territoire. Il peut s'agir de postes téléphoniques publics à carte (cabines téléphoniques) ou des postes téléphoniques semi-publics ou privés tels que postes d'intérieur à paiement par carte.

- Ces terminaux téléphoniques sont connectables à des unités de raccordement de publiphones (URP) et gèrent un certain nombre de terminaux téléphoniques à cartes. Ces unités de raccordement sont implantées au niveau des commutateurs d'abonnés. On peut envisager d'avoir une unité de raccordement de publiphones implantée dans un commutateur d'abonnés et gérant les publiphones de plusieurs commutateurs. L'unité de raccordement de publiphones est située en coupure sur la ligne de chacun des publiphones raccordés.

- Un centre de gestion principal (CGP) est implanté pour tout un territoire (niveau national par exemple) et est chargé de concentrer les informations globales statistiques et les éléments de facturation.

Le publiphone est un produit évolutif, fonction des besoins nouveaux des utilisateurs et des différents services proposés, ce qui conduit périodiquement à la mise en place de nouvelles versions des logiciels placés dans les mémoires des terminaux téléphoniques tels que les publiphones et des unités de raccordement des publiphones. Ces différentes versions de logiciels sont destinées à répondre aux évolutions de la technique et aux évolutions de la gestion commerciale de ces appareils.

De façon plus générale, les terminaux de téléphonie comportent des logiciels qui nécessitent des mises à jour.

C'est le cas par exemple des logiciels de traitement du moyen de paiement des communications par cartes à puce lorsqu'une nouvelle carte doit être traitée.

C'est le cas des logiciels d'appel lorsque l'on passe d'une numérotation à 8 chiffres à une numérotation à 10 chiffres.

Le changement de version de logiciels au niveau du publiphone ou au niveau des unités de raccordement des publiphones (URP) est une opération onéreuse et difficile, nécessitant une intervention sur site afin de remplacer le jeu de mémoire de programmes de chaque publiphone quelque soit sa situation géographique sur le territoire.

La présente invention a pour objet d'apporter une solution à ce problème tout en garantissant une sécurité en matière de fraude. En effet, selon l'invention on prévoit de télécharger les logiciels dans les unités de raccordement de publiphones et dans les publiphones. Mais la souplesse d'évolution du système de publiphones, offerte par la fonction "Téléchargement des logiciels, ne doit pas se traduire par une baisse de sa sécurité de fonctionnement. C'està-dire que le système doit pouvoir résister aux tentatives d'introduction - à quel que niveau que ce soit - de logiciels frauduleux.

Un objet de l'invention est de proposer un système permettant de réaliser des téléchargements de logiciels dans des terminaux et notamment dans des publiphones ou dans des terminaux de raccordement.

Un autre objet est de fournir à l'opérateur un moyen de vérifier la non-altération d'un logiciel lors du téléchargement dans le publiphone ou dans l'unité de raccordement de publiphones, et ce, en tenant compte des contraintes imposées par la nature du publiphone, à savoir un micro-processeur standard et une taille mémoire limitée.

L'invention concerne donc un système de chargement de logiciel dans des organes de téléphonie et notamment dans des publiphones ou dans des unités de raccordement des publiphones, principalement caractérisé en ce qu'il comporte
- une unité raccordé au réseau de commutation de type serveur de données comportant des logiciels, cette unité étant apte à télécharger les logiciels à travers le réseau, les logiciels étant transmis sous forme de données numériques sur les lignes du réseau et en ce que les publiphones comportent
- des circuits d'adaptation de transmission (MODEM, TR2) pour recevoir les données
- au moins une mémoire réinscriptible pour mémoriser les données de programmes, reçues
- un circuit de détection apte à détecter une connexion du serveur de téléchargement aux fils de ligne
- un circuit de connexion commandé par l'appareil de détection et permettant de connecter la mémoire aux fils de ligne par les circuits d'adaptation de transmission
- un circuit de ligne permettant d'isoler les circuits téléphoniques et les fils de ligne.

Selon l'invention, le téléchargement peut être opéré directement par le serveur dans les publiphones à travers bien sûr le réseau. Il peut également être réalisé en deux temps, du serveur aux unités de raccordement et des unités de raccordement aux publiphones.

Selon l'invention, le téléchargement de logiciel respecte des opérations de sécurité. Pour cela, le système de l'invention comporte dans chaque organe publiphone, une horloge délivrant un signal d'horloge à intervalles réguliers et commandant le fonctionnement d'un circuit d'initialisation d'appel vers le serveur.

Selon un autre objet de l'invention, les opérations de contrôle de sécurité peuvent être opérées différemment.

Selon un premier mode, le système comporte
- dans le serveur, un premier moyen pour calculer le condensé d'un fichier de logiciel à transférer, un deuxième moyen pour traiter le condensé obtenu à l'aide d'une fonction de cryptage à clé privée afin d'obtenir une première signature, un troisième moyen de transfert du fichier et de la signature au système publiphone;
- dans le système publiphone, un quatrième moyen pour calculer le condensé d'un fichier reçu, un cinquième moyen pour traiter le condensé à l'aide de la fonction de cryptage à clé secrète afin d'obtenir une deuxième signature, un sixième moyen de comparaison de la première et de la deuxième signatures et un septième moyen de validation du fichier transmis.

Selon un deuxième mode, le système comporte
- dans le serveur, un premier moyen pour calculer le condensé d'un fichier de logiciel à transférer ainsi qu'un deuxième moyen pour traiter le condensé obtenu à l'aide d'une fonction à clé publique et de la clé secrète associée afin d'obtenir une première signature, un troisième moyen de transfert du fichier et de la signature au système de publiphone;
- dans le système de publiphone, un huitième moyen de calcul du condensé du fichier reçu, un neuvième moyen de vérification de signature appliqué à la signature reçue, pour retrouver un condensé calculé, un dixième moyen de comparaison des deux condensés obtenus et enfin un moyen de validation du fichier transmis.

L'organe de téléphonie peut être un terminal téléphonique à carte tel qu'un publiphone (cabine téléphonique) ou qu'un poste téléphonique privé, ou une unité de raccordement de publiphones.

D'autres particularités et avantages de l'invention apparaîtront clairement dans la description suivante faite à titre d'exemple non limitatif en regard des figures annexées qui représentent
- la figure 1, un diagramme de liaisons permettant la connexion d'un serveur de logiciel à un organe publiphone
- la figure 2, un schéma de réalisation pratique du système
- la figure 3, un organigramme de transmission d'un fichier de logiciel à partir d'un serveur de téléchargement de logiciel vers un publiphone ou une unité de raccordement de publiphones
- la figure 4, un organigramme de réception d'un fichier de logiciel dans un publiphone ou une unité de raccordement de publiphones
- les figures 5 et 6, des variantes du système de transmission selon l'invention.

Dans la description qui va suivre on utilisera le terme publiphone pour désigner tout appareil téléphonique contenant un logiciel de fonctionnement et/ou de gestion. Actuellement, il peut s'agir de terminal téléphonique à cartes mais il pourrait s'agir de tout autre type de terminal.

Lorsque le serveur de téléchargement de logiciel doit transmettre à un organe d'un réseau de publiphones un logiciel notamment lors d'une modification de logiciel, il doit se connecter à cet organe. Il utilise alors le réseau téléphonique ou un réseau de données pour établir cette connexion.

A cette fin, selon la figure 1, un serveur de téléchargement de logiciel STL peut être connecté à plusieurs commutateurs Cl, C2, C3 lui permettant d'accéder à des unités de raccordement de publiphones URPl, URP2, URP3 et à des appareils publiphones TTPl, ... TTPn.

Chaque unité de raccordement et chaque appareil publiphone possède un modem d'adaptation permettant les transmissions provenant (et à destination) du serveur.

Il peut être également prévu des modems de transmission entre unités de raccordement et appareil publiphone.

Les logiciels transmis par le serveur sont destinés à être utilisés dans les unités de raccordement et dans les appareils publiphones par des microprocesseurs tels que pP.

Le transfert d'un logiciel peut se faire à l'initiative du serveur de téléchargement STL. Celui-ci se porte alors appelant, vers l'organe appelé (unité de raccordement ou appareil publiphone) par le réseau de commutation (Cl, C2, C3).

Si l'organe appelé est libre, la communication est établie. Le serveur est connecté par les fils de ligne à l'organe appelé. Il émet sur les fils de ligne une porteuse. Un appareil de détection de modulation de porteuse DEC détecte dans l'organe appelé qu'il s'agit d'un serveur de téléchargement de logiciel. Il connecte alors son modem de transmission aux fils de transmission et il est prêt à recevoir le logiciel que doit lui transférer le serveur.

Ce fonctionnement est similaire que ce soit un appareil publiphone ou une unité de raccordement qui doit recevoir un nouveau logiciel.

Lors d'un appel par le serveur, l'organe peut être occupé. Dans ce cas, le serveur STL reçoit du commutateur un signal d'occupation.

Selon un premier mode de fonctionnement le serveur STL ré-émet à intervalles réguliers l'appel vers l'organe appelé jusqu'à ce qu'il le trouve libre.

Selon un deuxième mode de fonctionnement, l'installation est équipée d'un système de rappel automatique qui se déclenche dès que l'organe appelé devient libre. Le serveur se porte alors automatiquement appelant sur l'organe appelé.

En se reportant à la figure 2, on va maintenant décrire un exemple de réalisation détaillée permettant l'établissement de connexions entre un serveur de téléchargement de logiciel et un organe publiphone.

Dans cet exemple, on considère que l'organe publiphone est un appareil publiphone tels que ceux mis à la disposition du public, c'est à dire une cabine téléphonique.

Un serveur STL peut être connecté à un publiphone TTP par un réseau de commutation tel que le commutateur RC.

Le serveur STL possède une base de données BASE contenant les fichiers à transmettre. Cette base de données est connectable aux fils de ligne vers le réseau de commutation RC par un circuit de connexion CXl et par un circuit de transmission TR effectuant par exemple une transformation parallèle/série des informations, ainsi que par un modem assurant l'adaptation des signaux de transmission.

Le serveur STL possède également un circuit de réception RON permettant de recevoir un appel dans le serveur ainsi qu'un circuit d'appel S.APP permettant d'appeler un publiphone.

Le publiphone possède une mémoire MEM réinscriptible (de type EEPROM par exemple) capable de recevoir des fichiers logiciels reçus du serveur STL ainsi qu'un microprocesseur ssP. La mémoire MEM est connectable aux fils de ligne par un circuit de connexion CX2, un modem d'adaptation de transmission et le circuit de réception TR2 effectuant, par exemple, une conversion série/parallèle des informations reçues.

Le publiphone possède également un circuit d'appel T.APP permettant de déconnecter les circuits téléphoniques du publiphone PUB et permettant de réaliser un appel vers le serveur STL. Associé au circuit d'appel T.APP, un système d'horloge H, B permet d'initialiser des appels à des instants prédéfinis.

Enfin, un circuit de détection DEC permet de détecter la connexion à un serveur de déchargement de logiciels.

Le fonctionnement d'un tel système peut se dérouler de la manière suivante
APPEL PAR LE SERVEUR
Le chargement d'un nouveau logiciel peut être effectué à l'initiative du serveur soit à intervalles réguliers (tous les 15 jours ou tous les mois par exemple), soit en cas de modifications des logiciels de gestion des publiphones.

Le circuit d'appel S.APP simule un appel vers le réseau de commutation RC et transmet un numéro d'appel d'un publiphone. Le réseau de commutation RC recherche le publiphone appelé. Si celui-ci est libre, il est porté appelé. Le circuit T.APP simule un décrochage et est connecté ensuite par le réseau de commutation au serveur STL. Simultanément, le circuit T.APP isole, dans le publiphone, les circuits téléphoniques du publiphone PUB de façon qu'un utilisateur ne puisse perturber la transmission par décrochage intempestif du combiné téléphonique du publiphone.

Le réseau de commutation RC détecte la simulation du décrochage par le circuit T.APP. Il établit alors la connexion du publiphone TTP au serveur STL.

Dans le serveur, le circuit d'appel S.APP connecte le modem, le circuit de transmission TRl et la base de données BASE aux fils de ligne.

Le serveur transmet un signal de modulation au publiphone. Ce signal de modulation est reconnu par le circuit de détection DEC qui commande, dans le circuit de connexion CX2, la connexion du modem, du circuit de réception TR2 et de la mémoire MEM aux fils de ligne.

La transmission d'un fichier de logiciel peut s'effectuer du serveur STL vers le publiphone TTP.

A l'issue de la transmission du fichier logiciel à transmettre, le serveur STL simule un raccrochage à l'aide du circuit S.APP. La communication est libérée dans le réseau de commutation qui renvoi un signal d'occupation au publiphone. Le signal est détecté par le circuit de détection DEC qui commande la déconnexion dans le circuit CX2 des circuits de réception et la libération du publiphone dans le circuit T.APP.

Lors de l'appel par le serveur STL, le publiphone TTP peut être occupé. Dans ce cas, le réseau de commutation RC renvoi un signal d'occupation au serveur STL. Celui-ci identifie ce signal dans son circuit S.APP et émet en échange un signal de rappel automatique au réseau de commutation. Celui-ci possède des circuits de rappel automatique de type connu qui permettra le rappel automatique du serveur et du publiphone à la libération de celui-ci.

Une variante à ce système de rappel automatique est de prévoir dans le serveur STL un circuit de rappel automatique temporisé selon lequel une temporisation RT est activée par le circuit S.APP (signal OCC) à la détection de la réception du signal d'occupation. A l'issue d'une durée déterminée, il commande l'émission (signal ra) d'un appel par le circuit S.APP, et cela jusqu'à ce que le publiphone appelé soit trouvé libre.

APPEL PAR LE PUBLIPHONE
Le chargement d'un nouveau logiciel peut être effectué à l'initiative d'un publiphone à intervalles réguliers.

Le publiphone possède une horloge qui délivre un signal h (par exemple tous les 15 jours ou tous les mois). Ce signal d'horloge h met dans une position d'appel un circuit d'appel (bistable B en position 1) qui délivre alors un signal app. Si le publiphone est libre (position raccroché) il fournit un signal lib. Ce signal peut être tout simplement fourni par la position repos d'un contact repos du crochet commutateur du poste. La combinaison du signal app et du signal lib commande le circuit d'appel T.APP. Celui-ci isole les circuits téléphoniques PUB de la ligne téléphonique et rend ainsi inefficace tout décrochage du combiné téléphonique par un utilisateur. De plus, le circuit T.APP se porte appelant vers le réseau de commutation RC et selon l'exploitation téléphonique habituelle dans la technique, il lui transmet le numéro d'appel du serveur.

Si le serveur STL est libre, il est appelé et est connecté par le réseau de commutation RC au publiphone TTP. Il transmet sur les fils de ligne une porteuse modulée qui est détectée dans le publiphone par le circuit de détection DEC.

Dans le publiphone, le circuit de connexion CX2 connecte le modem, le circuit de réception TR2 et la mémoire MEM aux fils de ligne et un signal "prêt à recevoir" est transmis au serveur. La transmission d'un fichier de logiciel peut alors s'effectuer.

A l'issue de la transmission, la libération de la communication et donc du serveur et du publiphone s'effectue comme décrit précédemment.

Dans le serveur, la fin de la communication est détectée par le circuit DEC qui commande la remise à zéro du circuit B.

Lors de l'appel initialisé par le publiphone, si le serveur est occupé, un rappel automatique peut se faire automatiquement à la libération du serveur à l'aide d'un système de rappel automatique prévu dans le réseau de commutation.

On peut également prévoir un rappel à intervalles réguliers à l'aide d'un circuit de temporisation tel que le circuit RT du serveur de la même façon que cela a été décrit précédemment pour le serveur.

Enfin, on notera que lorsque l'horloge H fournit le signal d'horloge h, le publiphone peut être occupé. le signal d'horloge h étant mémorisé dans le circuit B, l'appel du serveur sera initialisé dès la libération du publiphone par la combinaison des signaux lib et app.

En se reportant aux figures 3 à 6, on va maintenant décrire un système de transfert de logiciels selon l'invention.

Selon une première méthode chaque organe tel qu'une unité de raccordement de publiphones URP ou chaque publiphone TTP possède un numéro d'identification et une clé secrète. Le serveur de téléchargement possède un moyen (table, diversification) permettant de retrouver la clé secrète de chaque unité de raccordement URP ou de chaque publiphone TTP en fonction de son numéro d'identification.

Lorsque le serveur de téléchargement STL doit transférer un logiciel, il prépare ce transfert avant d'être connecté à l'organe distant (unité de raccordement ou publiphone) ou lorsqu'il vient d'y être connecté.

Pour préparer ce transfert, (voir figure 3), le serveur de téléchargement sélectionne le fichier L à transférer. Il calcule à partir de ce fichier une information condensée de taille déterminée appelée "condensé" C. A titre d'exemple on pourra utiliser comme fonction (cond) des fonctions connues telles que
MD4 ou MD5 ou SHA qui sont mises en oeuvre à partir de microprocesseurs à architecture 32 bits. On pourra aussi prendre la fonction décrite dans le brevet FR 2 660 088 (demande nO 90 03831) qui pourra être mise en oeuvre par un microprocesseur standard ne nécessitant pas de ressources de calcul particulières.

Cette opération est symbolisée
C = cond (L)
Sur le condensé C on applique un algorithme de signature (MAC) avec combinaison de la clé KSd pour obtenir une signature S. Cette opération est représentée sous la forme:
S = MACKSd(C)
Le serveur de téléchargement transfère ensuite le fichier de logiciel L et la signature S à l'organe publiphone auquel il est connecté.

Le fichier L et la signature S sont reçus dans l'organe publiphone distant qui les enregistre (voir figure 4).

L'organe public va maintenant vérifier le fichier et la signature reçus.

Il effectue la condensation du fichier au moyen de la même fonction de condensation cond et obtient le condensé C'
C' = cond(L)
Sur ce condensé C' il applique le même algorithme de signature MAC à l'aide de sa clé secrète KSd et il obtient une signature S'
S = MAc(KSd)c
Il compare ensuite la signature reçue S et la signature calculée S'. Si les deux signatures sont identiques, il valide le fichier reçu L. Si elles sont différentes, il redemande la transmission du fichier L au serveur.

Dans l'organe publiphone (unité de raccordement URP ou appareil publiphone TTP), la clé secrète et le numéro d'identification d permettant d'obtenir la clé secrète diversifiée KSd sont contenus dans une mémoire protégée de manière classique comme c'est le cas par exemple pour les circuits intégrés de cartes à puce.

L'algorithme MAC de calcul de signature est également contenu en mémoire.

En se reportant aux figures 5 et 6 on va maintenant décrire une variante du système de l'invention.

Selon cette variante, dans le serveur STL ou dans une station de travail, après avoir calculé le condensé C du fichier L à transmettre, on applique une fonction Fsec secrète d'un algorithme à clé publique dont la clé publique KP est détenue par le publiphone
S = FSec(C)
Le fichier L et la signatures S sont transmis au publiphone ou à l'unité de raccordement qui les enregistre.

Le publiphone ou l'unité de raccordement calcule le condensé C du fichier L. Puis la fonction publique FpUb de l'algorithme à clé publique est appliquée à la signature S pour obtenir un condensé calculé
C' = FPub(S)
Le condensé C' est comparé au condensé C.

Si les valeurs sont identiques, le fichier transféré n'a subi aucune altération, le publiphone valide le logiciel reçu.

Cette variante est basée sur l'utilisation d'un algorithme à clé publique. Cette variante permet en outre d'illustrer un téléchargement en deux temps tout en restant dans l'esprit de l'invention.

En effet, il peut être prévu que le serveur télécharge les logiciels dans les unités de raccordement et que le téléchargement dans les publiphones se fasse à partir des unités de raccordement à l'initiative des unités de raccordement ou à l'initiative des publiphones comme cela a été décrit dans l'exemple précédent. Bien sûr dans ce cas les unités de raccordement comporteront des moyens de mémorisation M.

Plus précisément, la figure 5 illustre un transfert de fichier de logiciel avec calcul de signature, du serveur vers une unité de raccordement de publiphone
URP.

La figure 6 illustre le transfert du fichier et de la signature, de l'unité de raccordement URP vers un appareil publiphone, la réception dans le publiphone et le traitement décrit ci-dessus dans le publiphone pour vérifier la validité du fichier.

A titre d'exemple on a pris comme fonction de cryptage l'algorithme RSA (Rivest-Shamir-Adleman).

Claims

REVENDICATIONS

1. Système de chargement de logiciel dans des organes de téléphonie et notamment dans des publiphones ou dans des unités de raccordement des publiphones (URP, TTP), caractérisé en ce qu'il comporte

- une unité (STL) raccordé au réseau de commutation (RC) de type serveur de données comportant des logiciels, cette unité étant apte à télécharger les logiciels à travers le réseau, les logiciels étant transmis sous forme de données numériques sur les lignes du réseau et en ce que les publiphones comportent

- des circuits d'adaptation de transmission (MODEM, TR2 pour recevoir les données)

- au moins une mémoire (MEM) réinscriptible pour mémoriser les données de programmes reçues

- un circuit de détection (DEC) apte à détecter une connexion du serveur de téléchargement ou de l'unité de raccordement aux fils de ligne

- un circuit de connexion (CX2) commandé par l'appareil de détection (DEC) et permettant de connecter la mémoire (MEM) aux fils de ligne par les circuits d'adaptation de transmission

- un circuit de ligne (T.APP) permettant d'isoler les circuits téléphoniques et les fils de ligne.

2. Système de chargement selon la revendication 1, caractérisé en ce qu'il comporte, dans chaque organe publiphone, une horloge (H) délivrant un signal d'horloge (h) à intervalles réguliers et commandant le fonctionnement d'un circuit d'initialisation d'appel (T.APP) vers le serveur.

3. Système de chargement selon la revendication 2, caractérisé en ce que le circuit d'initialisation d'appel (T.APP) est commandé par la combinaison du signal d'horloge (h) et d'un signal libre (lib) des circuits téléphoniques de l'organe publiphone.

4. Système de chargement selon la revendication 1, caractérisé en ce qu'il comporte dans le serveur de téléchargement de logiciel (STL), un circuit d'appel (S.APP) permettant d'initialiser l'établissement d'une communication vers un organe publiphone (TTP) à travers le réseau de commutation et de connecter une base de données (BASE) aux fils de ligne par l'intermédiaire de circuits d'adaptation de transmission (TRl, MODEM).

5. Système de chargement de logiciel selon la revendication 1, caractérisé en ce qu'il comporte

- dans le serveur (STL), un premier moyen pour calculer le condensé (C) d'un fichier (L) de logiciel à transférer, un deuxième moyen pour traiter le condensé obtenu (C)) à l'aide d'une fonction de cryptage (MAC) à clé privée afin d'obtenir une première signature (S), un troisième moyen de transfert du fichier (L) et de la signature (S) au système publiphone

- dans le système publiphone, un quatrième moyen pour calculer le condensé (C') d'un fichier (L) reçu, un cinquième moyen pour traiter le condensé (C') à l'aide de la fonction de cryptage (MAC) à clé secrète afin d'obtenir une deuxième signature S', un sixième moyen de comparaison de la première et de la deuxième signatures (S, S') et un septième moyen de validation du fichier (L) transmis.

6. Système de chargement selon la revendication 5, caractérisé en ce que les clés secrètes sont mémorisées dans les publiphones et dans le serveur.

7. Système de chargement selon la revendication 6, caractérisé en ce que la clé secrète est une clé propre de chaque unité de raccordement ou publiphone et est une clé diversifiée obtenue à partir de l'identification de l'organe de publiphonie et d'une clé mère.

8. Système de chargement selon la revendication 1, caractérisé en ce qu'il comporte

- dans le serveur (STL), un premier moyen pour calculer le condensé (C) d'un fichier (L) de logiciel à transférer ainsi qu'un deuxième moyen pour traiter le condensé obtenu (C) à l'aide d'une fonction à clé publique et de la clé secrète associée afin d'obtenir une première signature (S), un troisième moyen de transfert du fichier (L) et de la signature (S) au système de publiphone

- dans le système de publiphone, un huitième moyen de calcul du condensé (C) du fichier (L) reçu, un neuvième moyen appliqué à la signature (S) reçue, à savoir une fonction à clé publique, pour obtenir un condensé calculé (C'), un dixième moyen de comparaison des deux condensés (C, C') obtenus et enfin un moyen de validation du fichier (L) transmis.

9. Système de chargement selon l'une des revendications l à 8, caractérisé en ce que le publiphone est une cabine téléphonique publique ou un appareil téléphonique à paiement par carte.