FR2806229A1

FR2806229A1 - Procede d'interaction ou de transaction entre un utilisateur et un fournisseur de produits ou de services et systeme pour la mise en oeuvre de ce procede

Info

Publication number: FR2806229A1
Application number: FR0003196A
Authority: FR
Inventors: Mathieu Schnee; Olivier Gerard Claude Dumoulin
Original assignee: Individual
Current assignee: Individual
Priority date: 2000-03-13
Filing date: 2000-03-13
Publication date: 2001-09-14

Abstract

L'invention concerne un procédé d'interaction ou de transaction entre un utilisateur et un fournisseur de produits ou services, par l'intermédiaire d'un réseau de transmission de données accessible à des tiers, tel que l'INTERNET.Ce procédé est du type nécessitant une autorisation préalable, subordonnée à la présentation par l'utilisateur de moyens de preuve de son habilitation, comportant des coordonnées d'habilitation, et à un contrôle de ces coordonnées. Le procédé est caractérisé en ce que l'on fait transiter par le réseau (6) seulement une partie desdites coordonnées, qui à elle seule est insuffisante pour l'autorisation de la fourniture des produits ou services, après avoir mémorisé préalablement l'autre partie dans un organisme intermédiaire de sécurisation (3), et réunit pour ledit contrôle les deux parties de coordonnées.L'invention est utilisable pour des transactions électroniques bancaires.

Description

L'invention concerne un procédé d'interaction ou de transaction entre un utilisateur et un fournisseur produits ou de services, par l'intermédiaire d'un réseau de transmission de données accessibleà des tiers, que 11INTERNET, du type nécessitant une autorisation préalable, subordonnéeà la présentation l'utilisateur de moyens de preuve de son habilitation comportant des coordonnées d'habilitation, età contrÔle de ces coordonnées.

Des procédés de ce type sont connus notamment dans leur application aux transactions électroniques bancaires. L'internet qui progresse d'une façon spectaculaire offreà ces transactions des perspectives d'expansion très favorables. Mais on constatequi réalité l'utilisation de ces procédés reste largement en dessous de leur potentiel immense, en raison du manque de fiabilité des réseaux faceà la fraude et au piratage. En effet, les procédés de transaction électronique bancaire connus impliquent l'envoi de l'ensemble des coordonnées bancaires,à savoir le numéro de carte et sa date de validité sur le réseau. Bien que l'on ait recoursà cryptographie pour sécuriser les transactions, le risque d'une interception des coordonnées bancaires reste éleve parce que l'arsenal technologique dont disposent les pirates est en perpetuel progrès.

La présente invention a pour but de proposer un procédé transactions qui pallie les inconvénients des procédés existants.

Pour atteindre ce but, un procédé d'interaction selon l'invention entre un utilisateur et un fournisseur de produits ou services, par l'intermédiaire d'un réseau de transmission de données accessibleà des tiers, que 11INTERNET, du type nécessitant une autorisation préalable subordonnéeà la présentation l'utilisateur de moyens de preuve de son habilitation comportant des coordonnées d'habilitation, età un contr8le ces coordonnées, est caractérisé en ce que l'on fait transiter par le réseau seulement une partie desdites coordonnées, quià elle seule est insuffisante pour l'autorisation de la fourniture des produits ou services après avoir mémorisé préalablement l'autre partie dans un organisme intermédiaire de sécurisation, et réunit pour ledit contrôle les deux parties de coordonnees.

Un procédé de transaction selon l'invention entre un consommateur et un site commerçant, par l'intermédiaire d'un réseau de transmission de données, accessibleà des tiers, tels que l'INTERNET, à l'aide d'une carte bancaire, du type impliquant un contrôle des coordonnees de carte bancaire par un organisme de contrôle des cartes bancaires, avant l'autorisation de la transaction envisagée, est caractérisé en ce que l'on fait transiter par le réseau seulement une partie des coordonnees de carte bancaire, quià le seule est insuffisante pour l'autorisation d'une transactionà l'aide cette carte, après avoir mémorise préalablement l'autre partie dans un organisme intermédiaire de sécurisation, que l'on réunit les deux parties des coordonnées de carte bancaire dans cet organisme et fait transmettre les deux parties réuniesà 'organisme de contrôle par une ligne de transmission de données non accessibleà des tiers.

Le système de transaction électronique entre un consommateur et un site commerçant, par l'intermédiaire d'un réseau de transmission de données public,à l'aide d'une carte bancaire, du type comprenant un organisme de contrôle des coordonnées des cartes bancaires, est caractérisé en ce qu'il comprend un organisme intermédiaire de sécurisation par le stockage d'une partie des coordonnées de carte bancaire, qui est relié au consommateur et au site commerçant par le réseau età l'organisme de contrôle par une ligne de transmission de données spécialisée non accessibleà des tiers, et en ce que l'organisme intermédiaire est adapté pour réunirà la réception l'autre partie des coordonnées de carte bancaire reçues par le réseau, les deux parties des coordonnées de carte bancaire et pour transmettre les parties de coordonnées réuniesà l'organisme de contrôle par ladite igne spécialisée.

L'invention sera mieux comprise, et d'autres buts, caractéristiques, détails et avantages de celle-ci apparaitront plus clairement dans la description explicative qui va suivre, faite en référenceà la figure unique annexée donnée uniquementà titre 'exemple et illustrant schématiquement un système de transaction électronique selon la présente invention.

L'invention sera décrite dans son applicationà un procédé et système de transaction électronique entre un utilisateur-consommateur et un site commerçant.

Sur cette figure unique, les numéros référence 1 2,3, désignent respectivement le consommateur utilisateur le site de commerce électronique, un organisme intermédiaire de sécurisation des transactions électroniques et l'organisme de contrôle cartes bancaires. utilisateur1 et le site de commerce 2 sont reliésà un réseau de transmission de données publiques tel par exemple 11INTERNET, indiqué par numéro de référence général6 et représenté sous forme1 un nuage gris. On constate que l'organisme de sécurisation 3 est également connectéà ce réseau6 et peut donc communiquer à travers ce réseau avec l'utilisateur1 le site de commerce 2. De plus, l'organisme de sécurisation 3 est reliéà l'organisme de contrôle 4 par une liaison de transmission des données spécialisée7, non accessibleà des tierces personnes, telles que par exemple une liaison TRANSPAC. 'organisme de contrôle 4 est susceptible de communiquer avec le site de commerce 2 par une autre liaison specialisée 8.

Concernant l'organisme de sécurisation3, il comporte un serveur tampon10 et un serveur principal11. Ce dernier comprend une base de données. Les deux

serveurs <SEP> sont <SEP> reliés <SEP> par <SEP> une <SEP> liaison <SEP> de <SEP> transmission <SEP> des
<tb> données <SEP> interne <SEP> indiquée <SEP> en
<tb> On <SEP> décrira <SEP> ci-après <SEP> le <SEP> procédé <SEP> de <SEP> transaction
<tb> électronique <SEP> selon <SEP> l'invention, <SEP> basé <SEP> sur <SEP> l'utilisation <SEP> du
<tb> système <SEP> qui <SEP> vient <SEP> d'être <SEP> décrit <SEP> et <SEP> qui <SEP> est <SEP> représenté, <SEP> à
<tb> l'aide <SEP> d'une <SEP> carte <SEP> bancaire <SEP> impliquant <SEP> l'organisme <SEP> de
<tb> sécurisation <SEP> 3.
<tb> Pour <SEP> que <SEP> l'organisme <SEP> sécurisation <SEP> 3 <SEP> puisse
<tb> intervenir, <SEP> il <SEP> faut <SEP> que <SEP> le <SEP> consommateur <SEP> utilisateur <SEP> 1 <SEP> se
<tb> soit <SEP> préalablement <SEP> inscrit <SEP> auprès <SEP> de <SEP> cet <SEP> organisme. <SEP> A
<tb> cette <SEP> fin, <SEP> l'utilisateur <SEP> dispose <SEP> d'une <SEP> carte
<tb> d'inscription <SEP> auprès <SEP> de <SEP> l'organisme <SEP> 3, <SEP> qui <SEP> comporte <SEP> un
<tb> numéro <SEP> de <SEP> série <SEP> désignant <SEP> cette <SEP> carte. <SEP> Les <SEP> coordonnées <SEP> de
<tb> l'utilisateur, <SEP> avec <SEP> le <SEP> numéro <SEP> série <SEP> de <SEP> sa <SEP> carte, <SEP> sont
<tb> communiquées <SEP> par <SEP> l'utilisateur <SEP> à <SEP> l'organisme <SEP> 3 <SEP> qui <SEP> stocke
<tb> ces <SEP> coordonnées <SEP> dans <SEP> sa <SEP> base <SEP> de <SEP> données <SEP> contenues <SEP> dans
<tb> son <SEP> serveur <SEP> principal <SEP> 11.
<tb> Une <SEP> caractéristique <SEP> essentielle <SEP> de <SEP> l'invention
<tb> réside <SEP> dans <SEP> le <SEP> fait <SEP> qu'à <SEP> la <SEP> carte <SEP> d'inscription <SEP> est
<tb> associé <SEP> un <SEP> code <SEP> de <SEP> sécurité <SEP> qui <SEP> varie <SEP> dans <SEP> le <SEP> temps <SEP> selon
<tb> un <SEP> algorithme <SEP> prédéterminé. <SEP> code <SEP> est <SEP> affiché <SEP> sur <SEP> la
<tb> carte. <SEP> Il <SEP> est <SEP> essentiel <SEP> que <SEP> 'organisme <SEP> de <SEP> sécurisation <SEP> 3
<tb> soit <SEP> en <SEP> possession <SEP> de <SEP> ce <SEP> meme <SEP> algorithme <SEP> de <SEP> façon <SEP> à
<tb> pouvoir <SEP> connaître <SEP> à <SEP> tout <SEP> moment <SEP> le <SEP> code <SEP> variable
<tb> s'affichant <SEP> sur <SEP> la <SEP> carte <SEP> d'inscription <SEP> de <SEP> l'utilisateur.
<tb> Il <SEP> suffit <SEP> que <SEP> ce <SEP> dernier <SEP> ait <SEP> communiqué <SEP> le <SEP> numéro <SEP> de
<tb> série <SEP> de <SEP> sa <SEP> carte <SEP> lors <SEP> de <SEP> inscription.
<tb> L'inscription <SEP> implique <SEP> également <SEP> l'identification
<tb> de <SEP> l'utilisateur <SEP> par <SEP> un <SEP> terme <SEP> l'identifiant, <SEP> qui <SEP> pourrait
<tb> être <SEP> de <SEP> toute <SEP> nature <SEP> appropriée <SEP> et <SEP> comporter <SEP> les
<tb> premières <SEP> lettres <SEP> de <SEP> son <SEP> d'une <SEP> part, <SEP> et <SEP> par <SEP> un <SEP> code
<tb> fixe <SEP> d'identification, <SEP> 'autre <SEP> part. <SEP> Ce <SEP> code
<tb> d'identification <SEP> fixe <SEP> est <SEP> communiqué <SEP> à <SEP> l'utilisateur, <SEP> par
<tb> l'organisme <SEP> de <SEP> sécurité <SEP> . <SEP> séparément <SEP> de <SEP> sa <SEP> carte
<tb> d'inscription, <SEP> et <SEP> ne <SEP> figure <SEP> pas <SEP> sur <SEP> la <SEP> carte. <SEP> Il <SEP> est <SEP> à
<tb> noter <SEP> que <SEP> le <SEP> code <SEP> d'identification <SEP> personnel <SEP> de
<tb> l'utilisateur <SEP> et <SEP> le <SEP> code <SEP> variable <SEP> sont <SEP> formés <SEP> chacun <SEP> par exemple par un certain nombre de chiffres. Concernant le code variable, il ne peut pas être reconstitué sans connaissance de l'algorithme et est conçu de façonà changer périodiquement, par exemple toutes les soixante secondes. Selon une autre caractéristique essentielle de l'invention, l'utilisateur communique lors de l'inscriptionà l'organisme de sécurisation une partie des coordonnées de sa carte bancaire, comportant généralement un numéro de carte et la date de validité. Dans le présent exemple, l'utilisateur communiqueà l'organisme la date de validité. Cette date sera memorisée dans la banque de données de l'organisme.

Après s'être inscrit auprès de l'organisme de securisation 3, l'utilisateur consommateur autoriséà effectuer des transactions par exemple des achats par 1 intermédiaire de cet organisme. Lorsqul' souhaite effectuer une transaction sécurisée par l'intervention de organisme, il se connecte sur l'un sites de commerce 2 affiliés et sélectionne les produits ou services de son choix. Au moment de régler ses achats, il indique qu'il a choisi le mode de transaction sécurisée cliquant sur une icône appropriée apparaissant sur l'une des pages de réglement du site du commerce. Le site commerçant 2 fait alors parvenirà un serveur-tampon 10 de l'organisme de sécurisation3 des informations précises sur son identité ainsi que celles relativesà la transaction, notamment le montant de la transaction. Dans même temps, l'organisme de sécurisation :3 génère,à partir des renseignements reçus, un formulaire prérempli a l'attention de l'utilisateur. Ce formulaire indique les référencesdu site commerçant et les informations relativesà la transaction. Si l'utilisateur souhaite poursuivre le processus, il remplit le formulaire en entrant son identifiant et la deuxième partie des coordonnées de carte bancaire, dans le présent exemple le numéro de la carte bancaire. Lorsque l'utilisateur souhaite ensuite valider le formulaire il doit s'authentifier en entrant son code d'identification personnel et le code variable s'affichant sur sa carte d'inscription. Ainsi1 ensemble des deux codes constitue un code-passe. Lorsque le formulaire est rempli, une phase d'authentification de l'utilisateur a alors lieu au sein de l'organisme de sécurisation3, par comparaison des données reçues et des données memorisées. Si l'utilisateur est identifié et qu'il accepte les termes indiqués sur le formulaire, tel que le montant et les conditions éventuellement spécifiées une requête est générée dans l'organisme3 afin de rapatrier des bases de donnéesil la date de validité la carte bancaire enregistrée. Lorsque les deux parties des coordonnées de carte bancaire sont réunies, a savoir la date de validité et le numéro de la carte bancaire, l'organisme3 transmet l'ensemble des données de transaction, avec les deux parties de coordonnées bancaires réunies,à l'organisme de contrôle des cartes bancaires 4, par la ligne spécialisee 7 qui n'est pas accessibleà des tierces personnes. Puis la procédure classique de contrôle a lieu. Le site du commerce et llutisateur sont informés de l'autorisation ou non de transaction.

Bien entendu de multiples modifications peuvent être apportees au procédé tel qu'il vient d'être décrità titre d'exemple. Ainsi l'invention est utilisable avec des cartes bancaires de toute autre nature appropriée. Concernant les coordonnées de carte bancaire, il convient de les séparer en au moins deux parties de façon que la partie qui sera transmise par le réseau soit insuffisante pour obtenir l'autorisation d'une transactionà aide de cette carte par l'organisme de contrôle.

Ci-dessus, l'invention a été décrite dans son applicationà l'achat d'un produit ou d'un service. L'invention peut être en outre utilisée dans tout autre domaine d'interaction ou de transaction où la fourniture ,un produit ou d'un service nécessite une autorisation préalable, subordonnéeà la preuve de part de 'utilisateur qu'il est habilitéà bénéficier de ce produit ou service. Dans certains cas l'organisme de sécurisation pourrait appartenir ou se trouver au site du fournisseur. Par exemple l'invention peut être utilisée pour créer, utiliser, recharger et consulter un compte personnel pour des micropaiements, auprès de 'organisme sécurisation3. La création et l'utilisation de ce compte personnel constituant un porte-monnaie electronique se fait égalementà l'aide de la carte ,inscription sus-mentionnée ou d'une carte même type. Pour établir ce porte-monnaie, l'utilisateur entre dans champs d'un formulaire d'établissement compte son identifiant et le numéro de sa carte bancaire et le montant qu'il désire déposer sur ce compte. Pour valider ensuite la création de ce porte-monnaie électronique, ,utilisateur indique son code-passe comportant son code d'identification personnel et la combinaison variable apparaissant sur sa carte d'inscription.

Lors de l'utilisation de ce compte de porte-monnaie électronique, l'organisme avertira l'utilisateurà chaque fois qu'un paiement fera l'objet d'un prélèvement sur ce compte et lui demandera de s'authentifier par envoi de son identifiant et de son code-passe. L'organisme avertira l'utilisateur également lorsqu'il restera une somme inférieureou égaleà une somme limite prédéterminée ou lorsqu'un achat de faible montant est supérieurà la somme restant sur le compte.

Il est encoreà noter que pour éviter un risque de piratage au sein de l'organisme de sécurisation, l'information arrivant par le réseau ne fait pas l'objet d'un stockage.

Claims

REVENDICATIONS Procédé d'interaction ou de transaction entre un utilisateur et un fournisseur de produits ou services, par intermédiaire d'un réseau de transmission de données accessibleà des tiers, tel que 11INTERNET, du type nécessitant une autorisation préalable, subordonnée à la présentation par l'utilisateur de moyens de preuve de son habilitation, comportant des coordonnées d'habilitation, età un contrôle de ces coordonnées, caractérisé en ce que l'on fait transiter par le réseau (6) seulement une partie desdites coordonnées, quià elle seule est insuffisante pour l'autorisation de la fourniture des produits ou services, après avoir mémorisé préalablement l'autre partie dans un organisme intermédiaire de sécurisation(3), et réunit pour ledit contrôle les deux parties de coordonnées. 2. Procédé de transaction entre un consommateur et un site commerçant, par l'intermédiaired réseau de transmission de données, accessibleà des tiers, tels que 11INTERNET, à l'aide d'une carte bancaire, du type impliquant un contrôle des coordonnées de carte bancaire par organisme de contrôle des cartes bancaires, avant l'autorisation de la transaction envisagée caractérisé en que l'on fait transiter par le réseau seulement une partie des coordonnées de carte bancaire quià elle seule est insuffisante pour l'autorisation d'une transactionà l'aide de cette carte, après avoir mémorisé préalablement l'autre partie dans organisme intermédiaire de sécurisation (3) que1 on réunit les deux parties des coordonnées de carte bancaire dans cet organisme et fait transmettre les deux parties réuniesà l'organisme de contrôle (4) par une ligne de transmission de données non accessibleà des tiers. 3. Procédé selon la revendication 2, caractérisé en ce que l'envoi de l'ensemble des coordonnées de carte bancaire par l'organisme de sécurisation(3) à l'organisme de contrôle (4) est subordonné1 l'authentification de l'utilisateur impliquant l'envoi par l'utilisateurà l'organisme de sécurisation(3) dl code variable dans le temps. 4. Procédé selon la revendication3, caractérisé ce que le consommateur utilisateur possède un support portable, tel qu'une carte d'inscription auprès de l'organisme, qui indique le code variable. 5. Procédé selon la revendication 4, caractérisé en ce que le code variable change selon un algorithme prédéterminé. 6. Procédé selon la revendication5, caractérisé en ce la carte d'inscription auprès de1 organisme de sécurisation comporte un élément tel qu'un numéro de série. définit l'algorithme et en ce que ce numéro est communiquéà l'organisme de sécurisation lors de l'inscription et constitue le moyen d'identification de l'algorithmeà cet organisme. . Procédé selon l'une des revendications 4à 6, caractérisé en ce qu'au code variable est associé un code fixe d'identification de l'utilisateur, qui est communiquéà ce dernier séparément de la carte d'inscription. 8. Procédé selon la revendication1, caractérisé en ce qu'il est employé pour la création, l'utilisation, la recharge et la consultation d'un compte personnel pour des micropaiements, le cas échéant auprès de l'organisme de securisation. 9. Procédé selon la revendication8, caractérisé en ce la création, l'utilisation, la recharge et la consultation du compte de micropaiements sont subordonnéesà la présentation par l'utilisation d'un code avantageusement variable. 10. Procédé selon l'une des revendications1 à 9, caractérisé en ce que les coordonnées qui sont arrivesà l'organisme de sécurisation(3) par le réseau précité(6) ne sont pas stockées. . Système de transaction électronique entre un consommateur et un site commerçant, par l'intermédiaire d'un reseau de transmission de données accessibleà tiers, que 11INTERNET, à l'aide d'une carte bancaire du type comprenant un organisme de contrôle coordonnees des cartes bancaires, caractérisé en ce qul' comprend un organisme intermédiaire(3) de sécurisation par le stockage d'une partie des coordonnées de cartes bancaires, qui est relié au consommateur(1) et au site commerçant (2) par le réseau(6) età l'organisme contrôle (4) par une ligne de transmission de données non accessibleà des tiers, et en ce que l'organisme intermediaire (3) est adapté pour réunirà la réception de l'autre partie des coordonnées de cartes bancaires reçues par le réseau(6), les deux parties des coordonnées de cartes bancaires et pour transmettre les parties de coordonnées réuniesà l'organisme de contrôle (3) par les lignes spécialisées(7). 12. Système selon la revendicationil, caractérisé en ce que la ligne précitée non accessibleà des tiers est une ligne TRANSPAC.