FR2908209A1

FR2908209A1 - Entite electronique portable et procede de personnalisation d'une telle entite electronique

Info

Publication number: FR2908209A1
Application number: FR0654769A
Authority: FR
Inventors: Marc Bertin; Stephane Jayet
Original assignee: Oberthur Card Systems SA France
Current assignee: Idemia France SAS
Priority date: 2006-11-07
Filing date: 2006-11-07
Publication date: 2008-05-09
Anticipated expiration: 2026-11-07
Also published as: WO2008065264A1; US20100093334A1; JP2010506280A; US9449453B2; EP2087417A1; FR2908209B1

Abstract

L'entité électronique portable, dite « première », (100) comporte un moyen de connexion (105) à une station hôte et une mémoire (120) conservant des instructions d'une application (121) apte à être, au moins partiellement, chargée sur ladite station hôte, à être exécutée par ladite station hôte et à collaborer avec un serveur connecté à la station hôte pour réaliser la personnalisation d'une entité électronique portable, dite « deuxième » (100).Dans des modes de réalisation, la deuxième entité électronique est la première entité électronique.Dans des modes de réalisation, l'application est, au moins partiellement, exécutée par la première entité électronique portable.

Description

1 La présente invention concerne une entité électronique portable et un

procédé de personnalisation d'une telle entité électronique. Elle s'applique, notamment, à des entités électroniques portables de type comportant une mémoire non volatile et un microcontrôleur ; il s'agit par exemple d'une clef électronique dite USB (acronyme de Universal Serial Bus pour bus série universel), c'est-à-dire une clef dont l'interface physique avec un ordinateur hôte est conforme à la spécification USB, et apte à communiquer selon un protocole conforme à la spécification USB. L'entité entité électronique portable objet de la présente invention peut aussi être une carte à microcircuit, par exemple une carte à microcircuit conforme à la norme IS07816 ou une carte de MMC (acronyme de MultiMedia Card pour carte multimédia). Avant son initialisation, aussi appelée pré-personnalisation , une entité électronique portable ne peut pas fonctionner, notamment pour des applications requérant un haut niveau de sécurité, par exemple pour l'authentification de son porteur, un accès à un service payant ou un paiement.

Pour qu'elle supporte ce type d'applications, l'initialisation d'une entité électronique portable concerne au moins deux types principaux d'informations : les données applicatives, y compris le code des applications et les valeurs de leurs variables et des données de sécurité, généralement des clés de chiffrement. Elles peuvent, en outre, concerner des données imprimées, tels que les logos et codes à barres, qui sont positionnées à la surface de l'entité électronique portable. En complément de l'initialisation, la personnalisation des entités électroniques portables vise à ce que l'organisation qui les émet dispose d'entités correspondant à ses services et applications particuliers. Elle vise aussi à ce que chaque entité électronique portable contienne des données concernant son porteur (par exemple nom, numéro de téléphone, numéro de compte et photographie, signature, données définissant les services auxquels 2908209 2 le porteur à droit et montants limites pour ces services) et éventuellement ici aussi des données de sécurité telles que des clés de chiffrement. On observe que, dans la littérature technique, les notions d'initialisation et de personnalisation sont souvent regroupées sous le même 5 terme de personnalisation , ce que nous choisissons de faire ici, bien que ces étapes puissent être distinctes et réalisées, par exemple, par des prestataires différents, pour des raisons de sécurité, notamment dans le domaine des cartes bancaires. La personnalisation est réalisée par une station de personnalisation 10 qui effectue un traitement des données de personnalisation. L'entité électronique portable comporte une mémoire non volatile réinscriptible, par exemple, une mémoire EEPROM (acronyme de "Electrically Erasable and Programmable Read Only Memory" pour mémoire morte programmable et effaçable électriquement). La personnalisation électrique 15 consiste essentiellement en une étape d'initialisation de cette mémoire non volatile et, ainsi, de l'entité électronique portable et une étape de mémorisation, dans cette mémoire, de données qui varient d'une entité électronique portable à l'autre. La présente invention concerne particulièrement la personnalisation 20 électrique de l'entité électronique portable. Cependant, dans le cadre de la présente invention, la personnalisation électrique concerne aussi les mises à jour de la mémoire non volatile réinscriptible, par exemple par des applications, des menus ou des données personnelles ou de sécurité. De telles mises à jour sont par exemple mises en oeuvre dans le cadre de l'administration d'un parc 25 d'entités électroniques. Les inventeurs ont déterminé qu'il serait souhaitable de disposer de capacités de personnalisation sur une station hôte à usage général, sans que cette station ne soit modifiée ni qu'elle ait des applications spécifiques en mémoire.

30 Pour atteindre ces objectifs, l'invention vise, selon un premier aspect, une entité électronique portable, dite première , comportant un moyen de connexion à une station hôte et une mémoire conservant des instructions d'une 2908209 3 application apte à être, au moins partiellement, chargée sur ladite station hôte, à être exécutée par ladite station hôte et à collaborer avec un serveur connecté à la station hôte pour réaliser la personnalisation d'une entité électronique portable, dite deuxième .

5 Grâce à ces dispositions, on peut réaliser une personnalisation de la deuxième entité électronique portable sur n'importe quelle station hôte capable d'exécuter l'application de personnalisation portée par la première entité électronique portable. De plus, on peut mettre à profit les ressources de la station hôte et, en conséquence, simplifier le code de l'application conservée en 10 mémoire de la première entité électronique portable. Selon des caractéristiques particulières, la mémoire conserve des instructions d'une application apte à être, au moins partiellement, exécutée sur une station hôte comportant un ordinateur personnel. Selon des caractéristiques particulières, la mémoire conserve des 15 instructions d'une application apte à être, au moins partiellement, exécutée sur une station hôte comportant un téléphone mobile. Grâce à ces dispositions, un utilisateur peut personnaliser une entité électronique portable avec un téléphone mobile. Selon des caractéristiques particulières, la mémoire conserve des 20 instructions d'une application adaptée à ce que la deuxième entité électronique soit la première entité électronique. La présente invention est ainsi particulièrement pratique à mettre en oeuvre puisque l'on transporte l'application de personnalisation dans l'entité électronique à personnaliser. L'entité électronique portable fournit ainsi 25 l'application permettant sa propre personnalisation, ce qui limite les moyens à mettre en oeuvre pour effectuer cette personnalisation. Selon des caractéristiques particulières, la mémoire conserve des instructions d'une application apte à être, au moins partiellement, exécutée par ladite première entité électronique portable. On peut ainsi renforcer la sécurité 30 du processus de personnalisation en interdisant la copie de la partie de l'application exécutée par l'entité électronique portable ou en faisant dépendre les instructions de l'application de l'entité électronique portable qui la conserve.

2908209 4 Selon des caractéristiques particulières, la deuxième entité est un circuit intégré de la station hôte. Selon des caractéristiques particulières, la mémoire conserve des instructions d'une application pour réaliser la personnalisation de la deuxième 5 entité électronique portable, ladite personnalisation étant commandée par un serveur distant. Selon des caractéristiques particulières, ladite application est adaptée à mettre en place une connexion sécurisée, la personnalisation étant réalisée par une communication sécurisée entre au moins l'entité électronique 10 et un serveur distant qui commande la personnalisation. Selon des caractéristiques particulières, la première entité électronique portable comporte des moyens pour mémoriser au moins une information d'état de personnalisation, et des moyens pour communiquer au moins une information d'état mémorisée à un serveur distant qui commande la 15 personnalisation. Grâce à ces dispositions, le serveur peut connaître l'état de l'entité électronique portable et donc réaliser une personnalisation en fonction de cet état, ce qui est particulièrement intéressant dans le cadre de la mise à jour d'un parc d'entités électroniques en vue de leur administration.

20 Selon des caractéristiques particulières, l'entité électronique portable comporte des moyens pour mémoriser au moins la dernière commande de personnalisation reçue de la part d'un serveur distant qui commande la personnalisation et réalisée avec succès et des moyens pour communiquer cette dernière commande reçue et réalisée audit serveur distant.

25 Selon des caractéristiques particulières, la mémoire conserve un identifiant commun à plusieurs entités électroniques portables. Grâce à ces dispositions, l'entité électronique portable peut décrire son type, son application, sa marque et/ou son modèle. Selon des caractéristiques particulières, la mémoire conserve une 30 clef cryptographique commune à un groupe d'entités électroniques portables. Grâce à ces dispositions, on peut sécuriser la communication entre la première entité électronique portable et la station hôte et/ou le serveur auxquels la 2908209 5 première entité électronique portable est connectée, sans avoir à personnaliser, préalablement, la première entité électronique portable. Selon des caractéristiques particulières, l'entité électronique portable telle que succinctement exposée ci-dessus comporte un microcontrôleur adapté 5 à fonctionner en mode esclave. Ainsi, l'entité électronique portable ne fait que répondre à des commandes, par exemple de la part d'un lecteur dans le cas d'une carte à microcircuit. Selon des caractéristiques particulières, l'entité électronique portable comporte un microcontrôleur sécurisé. Par exemple, il est conforme à des 10 exigences de sécurité dites FIPS (acronyme de Federal Information Processing Standard pour standard de traitement d'information fédéral), et/ou aux critères communs et/ou à la norme ISO7816. Selon des caractéristiques particulières, l'application est à lancement automatique, après la connexion de l'entité électronique portable à la station 15 hôte. On permet ainsi l'automatisation de l'exécution de l'application de personnalisation, sur la station hôte. Selon des caractéristiques particulières, l'entité telle que succinctement exposée ci-dessus comporte des moyens pour sélectionner les instructions de ladite application en fonction de la station hôte. Grâce à ces 20 dispositions, la station hôte peut charger des instructions d'une application adaptée à fonctionner sur cette station hôte, par exemple en fonction de son système d'exploitation. L'application peut en outre comprendre une adresse du serveur distant sur un réseau, ce qui permet à la station hôte de se connecter à ce 25 serveur sans nécessiter d'information complémentaire de la part de l'utilisateur. La mémoire de l'entité électronique qui stocke l'application de personnalisation, l'identifiant de l'entité électronique et/ou l'adresse du serveur distant est par exemple une mémoire morte (ou ROM) de l'entité électronique. On évite dans ce cas la nécessité d'une personnalisation préalable de l'entité 30 électronique, les données étant inscrites dans le masque de la mémoire morte. Selon des caractéristiques particulières, ladite application chargée, au moins partiellement, sur la station hôte est adaptée à recevoir des 2908209 6 instructions dudit serveur distant et à les transmettre à la deuxième entité électronique portable. Selon des caractéristiques particulières, les instructions reçues dudit serveur distant sont reçues sous forme d'au moins un groupe d'instructions de 5 personnalisation de la deuxième entité électronique portable, au moins un groupe d'instructions de personnalisation comportant au moins une instruction de contrôle de personnalisation permettant à la station hôte de contrôler la bonne exécution d'au moins une instruction de personnalisation. La mise en oeuvre de ces caractéristiques particulières atteint deux 10 objectifs, qui sont à priori contradictoires : - faire effectuer l'essentiel des traitements sur un serveur de personnalisation, et donc limiter les traitements réalisés par la station hôte et - limiter les échanges de données entre la station hôte et le serveur de personnalisation.

15 Ces objectifs sont atteints notamment grâce à l'élaboration de groupes instructions de personnalisation par le serveur de personnalisation. Ainsi, la station hôte n'a pas à élaborer les instructions de personnalisation et n'a pas à requérir une à une les instructions de personnalisation. Le serveur de personnalisation à également un rôle de définition des 20 contrôles de la personnalisation qui sont exécutés par la station hôte. La prise en charge, par la station hôte, de ces instructions de contrôle définies par le serveur de personnalisation permet de limiter les échanges entre la station hôte et le serveur. Selon des caractéristiques particulières, au moins une instruction de 25 personnalisation est une instruction directement compréhensible et exécutable par la deuxième entité électronique portable. Grâce à ces dispositions, la station hôte n'a pas à interpréter les instructions de personnalisation directement compréhensibles et exécutables par l'entité électronique portable et ne fait que les lui transmettre.

30 Selon des caractéristiques particulières, au moins une instruction de personnalisation permet l'inscription, par la deuxième entité électronique 2908209 7 portable, de données dans la mémoire de la deuxième entité électronique portable. Selon des caractéristiques particulières, au moins une instruction de contrôle est le résultat attendu de l'exécution, par la deuxième entité 5 électronique portable, d'une instruction de personnalisation. Le contrôle est donc particulièrement aisé à mettre en oeuvre. Le contrôle du résultat attendu de l'exécution, par l'entité électronique portable, d'une instruction de personnalisation est l'instruction de contrôle minimum qui permet de minimiser les échanges entre la station hôte et le serveur.

10 Selon des caractéristiques particulières, au moins une instruction de personnalisation est une commande au format APDU de la norme ISO 7816. Selon des caractéristiques particulières, au moins une instruction de contrôle est une réponse, au format APDU de la norme ISO 7816, d'une instruction de personnalisation.

15 La présente invention s'applique ainsi aux entités électroniques portables mettant cette norme en oeuvre. Selon des caractéristiques particulières, les instructions de l'application sont adaptées à ce que la deuxième entité électronique soit la première entité électronique.

20 Selon un troisième aspect, la présente invention vise un procédé de personnalisation d'une entité électronique portable, dite deuxième , qui comporte : - une étape de connexion d'une entité électronique portable, dite première , à une station hôte 25 - une étape de chargement, au moins partiel, d'une application dont les instructions sont conservées par une mémoire de la première entité électronique portable, depuis la première entité électronique portable dans la station hôte et - une étape d'exécution, au moins partielle, de ladite application, par 30 ladite station hôte, pour réaliser la personnalisation de la deuxième entité électronique portable en collaborant avec un serveur distant.

2908209 8 Les avantages, buts et caractéristiques de la station hôte et du procédé objets, respectivement, des deuxième et troisième aspects de la présente invention étant similaires à ceux de l'entité électronique portable objet du premier aspect de la présente invention, ils ne sont pas rappelés ici.

5 D'autres avantages, buts et caractéristiques de la présente invention ressortiront de la description qui va suivre, faite, dans un but explicatif et nullement limitatif en regard des dessins annexés, dans lesquels : - la figure 1 représente, schématiquement, un mode de réalisation particulier d'une entité électronique portable objet de la présente invention, 10 - la figure 2 représente, schématiquement, un mode de réalisation particulier d'une station hôte objet de la présente invention, reliée à un serveur et - la figure 3 représente, sous forme d'un logigramme, des étapes mises en oeuvre, par l'entité électronique portable illustrée en figure 1 et par la 15 station hôte et le serveur illustrés en figure 2, dans un mode de réalisation particulier du procédé objet de la présente invention. On observe, en figure 1, une entité électronique portable amovible 100, comportant un microcontrôleur 110, une interface 140 (parfois dénommé "hub" selon l'appellation anglo-saxonne) qui permet la communication des 20 autres éléments de l'entité avec l'extérieur via le connecteur 105 selon le protocole USB, un contrôleur 130 de gestion d'une mémoire 120, qui émule un lecteur de disque compact (par exemple du type CD-ROM). Le contrôleur 130 émule ici un lecteur de CD-ROM en particulier afin de permettre le lancement automatique d'un programme mémorisé dans la mémoire 120, comme décrit 25 plus bas. Le microcontrôleur 110 émule quant à lui un lecteur de carte CCID (acronyme de Chip/Smart Card Interface Devices pour dispositifs d'interface de carte à circuit intégré) et une carte CID (acronyme de Card Interface Devices pour dispositifs d'interface de carte).

30 L'entité électronique portable 100 est de type comportant une mémoire non volatile et un microcontrôleur. C'est une clef électronique dite USB (acronyme de Universal Serial Bus pour bus série universel), c'est- 2908209 9 à-dire une clef dont l'interface physique 105 avec une station hôte est conforme à la spécification USB, et apte à communiquer selon un protocole conforme à la spécification USB. On note que l'entité entité électronique portable 100 peut aussi être 5 une carte à microcircuit, par exemple une carte à microcircuit conforme à la norme 1307816 ou une carte de MMC (acronyme de MultiMedia Card pour carte multimédia). L'entité électronique 100 peut comporter une interface de communication sans contact (non représentée), de préférence une interface 10 sans contact de communication de courte portée. II peut ainsi s'agir d'une carte à puce sans contact ou duale interface (interface à la fois sans contact et contact) par exemple conforme à la norme 13014443. L'entité électronique portable 100 peut également être un passeport comportant, dans l'épaisseur de sa couverture, un microcontrôleur sécurisé muni de moyens de communication 15 sans contact conforme à la norme 13014443. La personnalisation d'une telle entité électronique peut être réalisée en utilisant l'interface sans contact, ou l'interface avec contact si l'entité électronique en comprend également une. L'entité électronique portable 100 peut, par exemple, être utilisée dans des applications bancaires, de téléphonie mobile ou d'identification, 20 d'accès à un service en ligne (par exemple de voix sur IP), de télévision payante. Préférentiellement, l'entité électronique portable 100 est de type esclave, au sens où elle ne fait que répondre à des commandes, par exemple de la part d'une station hôte ou d'un serveur (voir figure 2) ou d'un lecteur, dans 25 le cas d'une carte à microcircuit. En variante, l'entité électronique portable 100 peut prendre l'initiative d'envoyer des données. Préférentiellement, le microcontrôleur 110 est sécurisé. Préférentiellement, il est conforme à des exigences de sécurité dites FIPS (déjà visées ci-dessus), à celles dites critères communs et/ou à la norme 30 1307816. L'entité électronique portable 100 comporte, notamment : le microcontrôleur 110 qui peut notamment mémoriser dans une 2908209 10 mémoire morte (ou ROM) un identifiant d'entité 122 et une clé d'encryption 124 (ou clé de chiffrage), préférentiellement, une clé publique d'un couple de clés associé à un serveur distant 250 et - la mémoire 120, qui conserve des instructions d'une application de 5 personnalisation 121 (y compris éventuellement une adresse 126 du serveur distant 250 sur un réseau) et la dernière instruction reçue 123. En variante, l'application 121 pourrait être mémorisé dans la mémoire morte du microcontrôleur 110 ou dans une mémoire morte du contrôleur 130.

10 En ce qui concerne l'application 121, elle est, préférentiellement, disponible, dans la mémoire 120 de l'entité électronique portable 100, en plusieurs versions adaptées à fonctionner sur différents types de station hôte 200, par exemple avec différents systèmes d'exploitation. La clef publique 124 est, par exemple, générée parallèlement à une 15 clef privée 251. On observe que cette architecture présente l'avantage de ne pas nécessiter de composant CCID et de permettre de modifier facilement le contenu de l'application 121. On observe, en figure 2, une station hôte 200, relié, par 20 l'intermédiaire d'un réseau informatique 225, à un serveur 250. La station hôte est, par exemple, de type ordinateur personnel, téléphone mobile ou lecteur d'entités électroniques portables. Le réseau informatique 225 est, par exemple, le réseau Internet. Le serveur 250 est, par exemple un serveur de la toile (en anglais web ).

25 La station hôte 200 est adaptée à recevoir et à mettre en oeuvre, au moins partiellement, l'application de personnalisation 121. Pour ce faire, elle comprend par exemple une application 221 de lancement automatique d'un programme à détection d'un nouveau lecteur de disque, comme il en existe sur les ordinateurs personnels.

30 Un serveur distant 250 met en oeuvre et conserve la clé publique 124, une clé privée 251 correspondant à la clé publique 124 et une base de 2908209 11 données d'identifiants d'entités électroniques portables 260, utilisée comme décrit plus bas. Comme illustré en figure 3, dès la mise sous tension de l'entité électronique portable, par exemple lors de la connexion de cette entité à une 5 station hôte qui lui fournit l'alimentation électrique, étape 305, on effectue un chargement automatique de l'application 121 dans la station hôte à laquelle l'entité électronique est directement reliée, étape 310. Ce chargement automatique peut être effectué, par exemple, sous la forme du lancement automatique (au moyen de l'application 221) d'une application autorun.exe 10 présente dans la mémoire 120 de l'entité électronique lorsque la station hôte 200 détecte le disque compact (CD-ROM) émulé par le contrôleur 130 de la mémoire 120 et lit en conséquence le contenu de la mémoire 120 de l'entité électronique portable 100, puis exécute automatiquement l'application 121. De la sorte l'application 121 est aisément installée et exécutée automatiquement 15 sur la station hôte sans manipulation complexe pour l'utilisateur. En ce qui concerne l'étape 310, préférentiellement, le programme de lancement automatique 221 de la station hôte 200 est capable de sélectionner l'application 121 adaptée à fonctionner sur la station hôte 200. Plus précisément, lorsque la mémoire 120 contient une pluralité de 20 programmes 121, l'application 221 sélectionne celui qui correspond au système d'exploitation de la station hôte 200, par exemple en pratique sur la base du nom de chaque fichier comportant l'application 121. Puis, l'application 221 charge et exécute l'application 121 sélectionnée. Ainsi, au cours d'une étape 315, la station hôte effectue une 25 exécution automatique de l'application 121. Au cours d'une étape 320, la station hôte se connecte au serveur distant 250 situé à l'adresse 126 définie dans l'application 121. En variante, l'adresse pourrait par exemple être fournie par l'utilisateur. Au cours d'une étape 325, la station hôte et le serveur distant 30 mettent en place une sécurisation des échanges entre eux, par exemple en définissant, ensemble, une clé de session unique ou une paire de clefs de session. Préférentiellement, l'application 221 effectue une authentification du 2908209 12 serveur distant 250 en déchiffrant, avec la clé 124, un message reçu de la part du serveur distant et comportant, chiffrée avec la clé privée 251, la clé publique 124. On n'a ainsi besoin de ne mémoriser qu'une seule clé publique 124 au sein de l'entité électronique 100 pour à la fois déchiffrer l'échange et authentifier 5 le serveur distant 250. Puis, le microcontrôleur 110 génère un couple de clefs publique/privée et chiffre la clé publique 116 de ce couple avec la clé publique 124 et la communique au serveur distant 250. Ensuite, au cours des étapes de personnalisation, le serveur distant 250 envoie, au contrôleur 110, des 10 instructions chiffrées avec la clef publique 116, qu'il a pu obtenir après déchiffrement avec la clé privée 251. On observe que, pour la mise en oeuvre de l'étape 325, l'entité électronique portable peut aussi mémoriser une clef symétrique (pour mettre en oeuvre l'algorithme DES par exemple, alors que la paire de clefs privées/publiques est utilisée avec un algorithme RSA par 15 exemple) par ailleurs, la partie de clefs ou la clef utilisée peut être commune à toutes les clefs (ou entités électroniques portables) d'un même type/modèle (correspondant au même identifiant) et crypter les échanges entre le microcontrôleur 110 et le serveur distant 250 à l'aide de cette paire de clefs ou de cette clef.

20 Plus généralement, la mémoire de l'entité électronique portable peut conserver une clef cryptographique commune à un groupe d'entités électroniques portables. On peut ainsi sécuriser la communication entre la première entité électronique portable et la station hôte et/ou le serveur auxquels la première entité électronique portable est connectée, sans avoir à 25 personnaliser, préalablement, la première entité électronique portable. Au cours d'une étape 330, la station hôte 200 et/ou l'application 121 communiquent au serveur distant 250 un identifiant 122 de l'entité électronique portable, la dernière commande 123 reçue de la part du serveur distant 250, ainsi qu'un numéro d'ordre associé à cette dernière commande 123, par 30 exemple un numéro d'ordre séquentiel (afin de distinguer des commandes identiques reçues à des instants différents).

2908209 13 On observe que l'identifiant conservé en mémoire de l'entité électronique portable peut être commun à plusieurs entités électroniques portables. L'entité électronique portable peut ainsi décrire son type, son application, sa marque et/ou son modèle.

5 Selon une variante envisageable, l'identifiant 122 peut être communiqué au serveur distant 250 avant l'étape d'authentification du serveur distant décrite ci-dessus (la communication de cet identifiant n'étant pas nécessairement sécurisée). Dans ce cas, les clefs publique 124 et privée 251 peuvent être sélectionnées par le serveur 250 en fonction de l'identifiant reçu.

10 Au cours d'une étape 335, le serveur distant 250 recherche, dans une base de données 260, un groupe de données de personnalisation correspondant à l'identifiant 122. Dans ce groupe de données de personnalisation, qui comporte une séquence d'instructions de personnalisation, le serveur distant 250 se positionne à l'enregistrement suivant 15 l'enregistrement correspondant à la dernière commande 123 telle que reçue par l'entité électronique portable 100. Le serveur distant 250 lit les enregistrements suivants, tout en produisant des groupes d'instructions de personnalisation qu'il transmet à l'entité électronique 100 où la personnalisation doit être effectuée, via la station hôte 200, et par exemple avec signature des instructions au 20 moyen de la clef privée 251 afin d'assurer leur intégrité. Les enregistrements de la base de données 260 peuvent, par exemple, comporter des groupes d'instructions de personnalisation qui comportent des instructions ayant une longueur variable. Par exemple une instruction à destination de l'entité électronique 25 portable comporte un numéro d'instruction et un type d'instruction qui indique si une réponse attendue est spécifiée et s'il s'agit d'une instruction à destination de l'entité électronique portable à personnaliser (c'est-à-dire par exemple à mettre à jour) ou de la station hôte. L'instruction peut aussi comporter des codes d'instruction avec par30 exemple, dans le cas où l'instruction est destinée à l'entité électronique portable à personnaliser, une longueur d'instruction, une commande APDU, une 2908209 14 longueur de réponse attendue et, optionnellement, en fonction du type d'instruction, un contenu de réponse attendu. Lorsque l'instruction est destinée à la station hôte, les codes d'instruction indiquent, par exemple, s'il s'agit d'une instruction de mise sous 5 tension de l'entité électronique, d'une instruction de mise hors tension, d'une instruction de modification de l'horloge ou d'une instruction de sélection de protocole d'échange avec l'entité électronique. Les données indiquent, par exemple, une fréquence d'horloge ou une tension à fournir à l'entité électronique portable. Dans ces derniers cas, les instructions de compte-rendu 10 sont implicites. Ainsi, à chaque étape 335, le serveur 250 reprend la personnalisation, dans un groupe d'instructions de personnalisation, à l'instruction correspondant à la dernière instruction 123 reçue par l'entité électronique portable 100.

15 On observe que le serveur distant 250 et l'entité électronique (ou la station hôte 110 quand les instructions lui sont destinées) communiquent entre eux de manière sécurisée, en mettant en oeuvre la clé de session 116 établie au cours de l'étape 325. Puis, on retourne à l'étape 330 pour poursuivre l'initialisation jusqu'à 20 ce qu'il n'y ait plus d'instructions à transmettre à l'entité électronique portable. On observe que, dans le cas où les groupes d'instructions comportent des instructions directement compréhensibles par l'entité électronique, la solution consiste typiquement à encrypter les données transmises à l'entité par les instructions et non pas les groupes d'instruction 25 dans leur ensemble. Dans le cas d'instruction APDU, on crypte typiquement au moins une partie des données du champ dit Data Field . II faut en effet que les instructions APDU puissent être comprises par la carte. Dans des variantes, la personnalisation est effectuée sans historique, par exemple lorsque l'entité électronique est une clef USB et la 30 station hôte est un ordinateur personnel, et lorsque l'application comporte une interface utilisateur, l'utilisateur pouvant alors lancer la personnalisation de son choix par l'intermédiaire de cette interface.

2908209 15 Dans toute la description, on a décrit la mise en oeuvre de la présente invention pour qu'une entité électronique portable conserve les instructions d'une application permettant sa propre personnalisation. Cependant, dans des variantes aisément à la portée de l'homme du métier, 5 l'entité électronique portable, dite première , comporte un moyen de connexion à une station hôte et une mémoire conservant des instructions d'une application apte à être exécutée pour réaliser la personnalisation d'une entité électronique portable, dite deuxième , éventuellement différente de la première entité. On peut ainsi réaliser une personnalisation de la deuxième 10 entité électronique portable sur n'importe quelle station hôte capable d'exécuter l'application de personnalisation. Dans des variantes, la deuxième entité est un circuit intégré de la station hôte. Dans des modes de réalisation particuliers de l'entité électronique portable objet de la présente invention, cette entité comporte un microcontrôleur 15 adapté à fonctionner en mode esclave. Ainsi, l'entité électronique portable ne fait que répondre à des commandes, par exemple de la part d'un lecteur dans le cas d'une carte à microcircuit. Dans des modes de réalisation particuliers de l'entité électronique portable objet de la présente invention, cette entité comporte un microcontrôleur 20 sécurisé. Par exemple, il est conforme à des exigences de sécurité dites FIPS , critères communes et/ou à la norme ISO7816. Plus généralement, dans des modes de réalisation, l'entité électronique portable comporte des moyens de sécurisation aptes à sécuriser au moins en partie l'exécution de l'application chargée et exécutée dans la station hôte, selon un 25 mode de sécurisation prédéterminé, afin de s'assurer que le flux de données reçu et transmis à cette application soit seulement apte à être traité par cette dernière. En ce qui concerne le fonctionnement conjoint du serveur de personnalisation, de la station hôte et de l'entité électronique portable, dans des 30 modes de réalisation, on met en oeuvre les étapes décrites ci-dessous. Tout d'abord, la station hôte envoie au serveur une requête d'initialisation de la personnalisation comportant une information d'identification 2908209 16 de l'entité électronique portable à personnaliser, afin d'initialiser les moyens de traitement de contrôle de la personnalisation. Cette requête peut comporter également des informations d'identification de la station hôte, permettant au serveur de lui adresser la réponse, et éventuellement le type de station hôte, le 5 serveur pouvant avoir besoin de cette information pour connaître les instructions qu'il peut envoyer à destination de la station hôte. Le serveur répond alors à station hôte, soit par un message d'erreur, soit par un accusé de réception si aucun problème a été rencontré. Puis, la station hôte identifie l'entité électronique portable et 10 communique un identifiant de cette entité au serveur ainsi qu'une requête de groupe d'instructions de personnalisation. En fonction de l'identifiant de l'entité électronique portable et des données de personnalisation reçues par ailleurs, le serveur génèrent un groupe d'instructions de personnalisation et les transmet à la station de 15 personnalisation, préférentiellement sous forme cryptée, codée ou chiffrée. Préférentiellement, au cours de cette étape, le serveur de personnalisation définit le premier groupe d'instructions de personnalisation pour que ce groupe d'instructions ne s'achève que lorsque, pour l'instruction suivante, le serveur aura besoin du compte-rendu d'exécution d'au moins une 20 des instructions précédentes. La station hôte réceptionne alors le groupe d'instructions, c'est-à-dire effectue le décodage et/ou l'analyse nécessaire, et transmet chaque commande APDU du groupe d'instructions à l'entité électronique portable. Préférentiellement, la station hôte réalise au moins une instruction de 25 contrôle d'au moins une instruction de personnalisation après avoir transmis, à l'entité électronique portable, une autre instruction de personnalisation non concernée par cette instruction de contrôle. Si, pour une commande APDU, aucune instruction de contrôle intégrée dans le groupe d'instructions de personnalisation reçu ne concerne 30 cette instruction APDU, la station hôte attend, de la part de l'entité électronique portable, un code standard qui indique que l'instruction de personnalisation a bien été exécutée et vérifie ce code standard.

2908209 17 Sinon, la station hôte attend une réponse APDU spécifique dans un intervalle de temps spécifique, si cette réponse et/ou cet intervalle de temps spécifiques sont spécifiés dans une instruction de contrôle incorporée dans le groupe d'instructions de personnalisation reçu.

5 En cas de problème, c'est-à-dire, selon les cas, en absence de réception du code standard ou de la réponse attendue pendant l'intervalle de temps spécifique, la personnalisation de l'entité électronique portable est interrompue et un message d'interruption de personnalisation est transmis, par la station hôte, au serveur.

10 En l'absence de problème, chaque réponse est placée dans une mémoire tampon (en anglais buffer ), dans l'ordre chronologique, avec d'autres informations de compte-rendu de déroulement de la personnalisation (par exemple date, heure, identifiant de l'entité électronique portable). Lorsque, au cours du traitement des instructions de personnalisation, 15 une instruction de compte-rendu est rencontrée par la station hôte, celle-ci émet, à destination du serveur, un message de compte-rendu, par exemple comportant le contenu de la mémoire tampon. Lorsque toutes les instructions de personnalisation ont été traitées, la station hôte envoie un message de compte-rendu comportant, par exemple, le 20 contenu de la mémoire tampon, au serveur de personnalisation. A réception de chaque message de compte-rendu, le serveur analyse le compte-rendu et détermine s'il doit déclencher une action en fonction du résultat de cette analyse. Le serveur détermine, notamment, si une erreur a été détectée. Si oui, l'erreur est traitée. Sinon, le serveur de personnalisation 25 détermine si la personnalisation de l'entité électronique portable est terminée. Si oui, on charge une nouvelle entité électronique portable dans la station hôte et on réitère la personnalisation. Sinon, en fonction de l'identifiant de l'entité électronique portable, du ou des compte(s)-rendu reçus) et des données de personnalisation reçues par ailleurs, le serveur de personnalisation génèrent un 30 nouveau groupe d'instructions de personnalisation et les transmet à la station hôte, préférentiellement sous forme cryptée, codée ou chiffrée.

2908209 18 Côté station hôte, tout d'abord, elle reçoit un groupe d'instructions de personnalisation de la part du serveur. Puis, la station hôte effectue une extraction de la prochaine instruction du dernier groupe d'instructions de personnalisation reçu. Lors de la première itération de cette étape, la prochaine 5 instruction est la première instruction. Puis la station hôte détermine si l'instruction extraite est associée à une instruction de contrôle, c'est-à-dire, ici, identifie, en contenu ou en durée d'attente maximale, une réponse à attendre de l'entité électronique portable. Si oui, la station hôte extrait du groupe d'instructions de 10 personnalisation, l'identification de la réponse à attendre. Sinon, la station hôte mémorise, comme réponse attendue, une réponse standard, indépendante de l'instruction de personnalisation et, comme durée d'attente maximale, une durée d'attente standard. A la suite de l'une de ces étapes, la station de personnalisation extrait 15 la commande APDU de l'instruction extraite et la transmet à l'entité électronique portable. Par exemple, cette instruction permet l'inscription de données, par l'entité électronique portable, dans la mémoire non volatile EEPROM de l'entité électronique portable. Puis, la station hôte attend une réponse de l'entité électronique 20 portable. Lors de la réception d'une réponse de la part de l'entité électronique portable ou à la fin de la durée maximale d'attente, la station hôte inscrit le contenu de la commande et de la réponse, éventuellement vide, dans une mémoire tampon de compte-rendu, de manière chronologique. La station hôte détermine aussi si la réponse obtenue est identique à 25 la réponse attendue. Si non, la station hôte envoie un message d'erreur au serveur ainsi que le contenu de la mémoire tampon de compte-rendu. Si oui, la station hôte détermine si le dernier groupe d'instructions reçu comporte encore au moins une instruction et réitère, en fonction du résultat, l'une ou l'autre des étapes précédemment décrites.

Claims

REVENDICATIONS

, 1 - Entité électronique portable, dite première , caractérisée en ce qu'elle comporte un moyen de connexion à une station hôte et une mémoire conservant des instructions d'une application apte à être, au moins partiellement, chargée sur ladite station hôte, à être exécutée par ladite station hôte et à collaborer avec un serveur connecté à la station hôte pour réaliser la personnalisation d'une entité électronique portable, dite deuxième .
2 û Entité électronique portable selon la revendication 1, caractérisée en ce que la mémoire conserve des instructions d'une application apte à être, au moins partiellement, exécutée sur une station hôte comportant un ordinateur personnel.
3 û Entité électronique portable selon l'une quelconque des revendications 1 ou 2, caractérisée en ce que la mémoire conserve des instructions d'une application apte à être, au moins partiellement, exécutée sur une station hôte comportant un téléphone mobile.
4 û Entité électronique portable selon l'une quelconque des revendications 1 à 3, caractérisée en ce que la mémoire conserve des instructions d'une application adaptée à ce que la deuxième entité électronique soit la première entité électronique.
5 û Entité électronique portable selon l'une quelconque des revendications 1 à 4, caractérisée en ce que la mémoire conserve des instructions d'une application apte à être, au moins partiellement, exécutée par ladite première entité électronique portable.
6 û Entité électronique portable selon l'une quelconque des revendications 1 à 5, caractérisée en ce que la deuxième entité est un circuit intégré de la station hôte.
7 û Entité électronique portable selon l'une quelconque des revendications 1 à 6, caractérisée en ce que la mémoire conserve des instructions d'une application pour réaliser la personnalisation de la deuxième 2908209 20 entité électronique portable, ladite personnalisation étant commandée par un serveur distant.
8 ù Entité électronique portable selon l'une quelconque des revendications 1 à 7, caractérisée en ce que ladite application est adaptée à 5 mettre en place une connexion sécurisée, la personnalisation étant réalisée par une communication sécurisée entre au moins l'entité électronique et un serveur distant qui commande la personnalisation.
9 ù Entité électronique portable selon l'une quelconque des revendications 1 à 8, caractérisée en ce qu'elle comporte des moyens pour 10 mémoriser au moins une information d'état de personnalisation, et des moyens pour communiquer au moins une information d'état mémorisée à un serveur distant qui commande la personnalisation.
10 ù Entité électronique portable selon l'une quelconque des revendications 1 à 9, caractérisée en ce qu'elle comporte des moyens pour 15 mémoriser au moins la dernière commande de personnalisation reçue de la part d'un serveur distant qui commande la personnalisation et réalisée avec succès et des moyens pour communiquer cette dernière commande reçue et réalisée audit serveur distant.
11 ù Entité électronique portable selon l'une quelconque des 20 revendications 1 à 10, caractérisée en ce que la mémoire conserve un identifiant commun à plusieurs entités électroniques portables.
12 ù Entité électronique portable selon l'une quelconque des revendications 1 à 6, caractérisée en ce que la mémoire conserve une clef cryptographique commune à un groupe d'entités électroniques portables. 25 13 ù Entité électronique portable selon l'une quelconque des revendications 1 à 12, caractérisée en ce qu'elle comporte un microcontrôleur adapté à fonctionner en mode esclave. 14 ù Entité électronique portable selon l'une quelconque des revendications 1 à 13, caractérisée en ce que l'entité électronique portable 30 comporte un microcontrôleur sécurisé. 15 ù Entité électronique portable selon l'une quelconque des revendications 1 à 14, caractérisée en ce que l'application est à lancement 2908209 21 automatique, après la connexion de l'entité électronique portable à la station hôte. 16 ù Entité électronique portable selon l'une des revendications 1 à 15, caractérisée en ce que l'application comprend une adresse du serveur 5 distant sur un réseau. 17 ù Entité électronique portable selon l'une quelconque des revendications 1 à 16, caractérisée en ce qu'elle comporte des moyens pour sélectionner les instructions de ladite application en fonction de la station hôte. 18 ù Entité électronique portable selon l'une des revendications 1 à 10 17, caractérisée en ce que la mémoire est une mémoire morte de l'entité électronique. 19 ù Entité électronique portable selon l'une des revendications 1 à 18, caractérisée en ce que ladite application chargée, au moins partiellement, sur la station hôte est adaptée à recevoir des instructions dudit serveur et à les 15 transmettre à la deuxième entité électronique portable. 20 ù Entité électronique portable selon la revendications 19, caractérisée en ce que les instructions reçues dudit serveur distant sont reçues sous forme d'au moins un groupe d'instructions de personnalisation de la deuxième entité électronique portable, au moins un groupe d'instructions de 20 personnalisation comportant au moins une instruction de contrôle de personnalisation permettant à la station hôte de contrôler la bonne exécution d'au moins une instruction de personnalisation. 21 ù Entité électronique portable selon l'une quelconque des revendications 19 ou 20, caractérisée en ce que au moins une instruction de 25 personnalisation est une instruction directement compréhensible et exécutable par la deuxième entité électronique portable. 22 ù Entité électronique portable selon la revendication 21, caractérisée en ce qu'au moins une instruction de personnalisation permet l'inscription, par la deuxième entité électronique portable, de données dans la 30 mémoire de la deuxième entité électronique portable. 23 ù Entité électronique portable selon l'une quelconque des revendications 20 à 22, caractérisée en ce qu'au moins une instruction de 2908209 22 contrôle est le résultat attendu de l'exécution, par la deuxième entité électronique portable, d'une instruction de personnalisation. 24 û Entité électronique portable selon l'une quelconque des revendications 20 à 23, caractérisée en ce qu'au moins une instruction de 5 personnalisation est une commande au format APDU de la norme ISO 7816. 25 û Entité électronique portable selon l'une quelconque des revendications 20 à 24, caractérisé en ce qu'au moins une instruction de contrôle est une réponse, au format APDU de la norme ISO 7816, d'une instruction de personnalisation. 10 26 -Procédé de personnalisation d'une entité électronique portable, dite deuxième , qui comporte : - une étape de connexion d'une entité électronique portable, dite première , à une station hôte - une étape de chargement, au moins partiel, d'une application dont 15 les instructions sont conservées par une mémoire de la première entité électronique portable et - une étape d'exécution, au moins partielle, de ladite application, par ladite station hôte, pour réaliser la personnalisation de la deuxième entité électronique portable en collaborant avec un serveur distant.