FR2929788A1

FR2929788A1 - Gestion d'utilisation securisee de terminal

Info

Publication number: FR2929788A1
Application number: FR0852341A
Authority: FR
Inventors: Frederic Rousseau
Original assignee: EADS Secure Networks SAS
Current assignee: Airbus DS SAS
Priority date: 2008-04-08
Filing date: 2008-04-08
Publication date: 2009-10-09
Anticipated expiration: 2028-04-08
Also published as: EP2263350A2; WO2009136067A2; FR2929788B1; KR20110003361A; US20110030033A1; CN102047607A; WO2009136067A3; CN102047607B

Abstract

Un terminal présente au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité. Une entité de sécurité stocke ladite donnée de sécurité ainsi que des premiers paramètres d'authentification. Le terminal stocke des seconds paramètres d'authentification.Au niveau du terminal, on effectue (11) une authentification de l'entité de sécurité sur la base des premiers et seconds paramètres d'authentification.Puis, on établit (12) une liaison sécurisée sans contact avec l'entité de sécurité.Enfin, on reçoit (23), au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée sur ladite entité de sécurité.

Description

GESTION D'UTILISATION SECURISEE DE TERMINAL La présente invention se rapporte au niveau de sécurité relatif à l'utilisation d'un terminal et plus particulièrement dans un contexte d'utilisation banalisée de terminal, c'est-à-dire lorsque le terminal considéré est susceptible d'être utilisé par plusieurs utilisateurs successivement. En particulier elle trouve des applications notamment dans le domaine des communications sécurisées lorsqu'un équipement terminal de communications banalisé est susceptible d'être utilisé successivement par plusieurs utilisateurs, y compris des utilisateurs appartenant à des organisations différentes. Afin de garantir un certain niveau de sécurité d'utilisation d'un terminal, c'est-à-dire afin d'éviter toute usurpation d'identité visant à une utilisation frauduleuse de terminal, il peut être prévu qu'un bloc fonctionnel du terminal ne soit pas opérationnel initialement, et qu'il le devienne uniquement sur réception de certaines données. Il en est ainsi selon un scénario tel que défini dans la norme TETRA (pour 'Trans European Trunked Radio' en anglais), et plus précisément dans le document 'TETRA security' de l'ETIS EN 300 392-7 (pour 'European telecommunications Standards Institute' en anglais). Selon un tel scénario, certaines fonctionnalités d'un terminal ne peuvent être utilisées qu'à l'aide de paramètres d'identité qui sont stockés sur une carte spécifique. Ces paramètres d'identité peuvent correspondre à l'ITSI (pour 'Individual TETRA Subscriber Identity' en anglais) et à une clé K, ou encore à l'ITSI, ainsi qu'à une clé KS (pour 'Session Key') et une clé RS (pour 'Random Seed'). L'utilisation prévue de ces paramètres d'identité permet de cloisonner la sécurité d'utilisation de différents services de communications offerts à l'utilisateur.

L'ITSI est une carte insérée à l'intérieur du terminal. Elle permet de sécuriser l'utilisation d'un terminal mais ne permet pas un changement aisé d'utilisateur de ce terminal. La présente invention apporte une solution au besoin exprimé.

Un premier aspect de la présente invention propose un procédé de gestion d'utilisation sécurisée d'un terminal présentant au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité ; une entité de sécurité stockant ladite donnée de sécurité et des premiers paramètres d'authentification ; et le terminal stockant des seconds paramètres d'authentification ; ledit procédé comprenant les étapes suivantes, au niveau du terminal : /1/ effectuer une authentification de l'entité de sécurité sur la base des premiers et seconds paramètres d'authentification ; /2/ établir une liaison sécurisée sans contact avec l'entité de sécurité ; et /3/ recevoir, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée sur ladite entité de sécurité. Selon une telle réalisation, un terminal requiert une donnée de sécurité pour permettre l'utilisation d'au moins une fonctionnalité de ce terminal. Cette donnée de sécurité est initialement stockée sur une entité de sécurité, qui peut être également référencée en tant que carte d'utilisateur, et le terminal est en charge de la récupérer depuis cette entité de sécurité. Il est avantageusement prévu ici d'effectuer cette récupération de donnée de sécurité via une liaison sans contact sécurisée qui n'a été établie qu'une fois que le terminal a été en mesure d'authentifier cette entité de sécurité. Cette étape préalable d'authentification, fondée sur des informations stockées à la fois sur le terminal et sur l'entité de sécurité, garantit un niveau de sécurité au niveau de l'utilisation de ce terminal. Grâce à de telles dispositions, il est possible de recevoir la donnée de 30 sécurité au niveau du terminal de manière sécurisée puisque l'entité de sécurité et le terminal ont chacun des informations qui leur permettent de mettre en

3

oeuvre une authentification réciproque, ou encore authentification mutuelle, entre eux. En mettant en place une telle authentification préalablement à l'établissement de cette liaison sécurisée pour la transmission de la donnée de sécurité depuis l'entité de sécurité vers le terminal, on peut garantir un niveau de sécurité d'utilisation du terminal élevé. Avantageusement, une fois la donnée de sécurité transmise selon le procédé de gestion d'un mode de réalisation de la présente invention, le terminal peut alors débloquer la fonctionnalité correspondante. Ainsi, le terminal peut être utilisé par l'utilisateur correspondant, même si la liaison entre l'entité de sécurité et le terminal est interrompue par la suite. Il convient de noter que dans l'art antérieur, le niveau de sécurité associé à l'utilisation du terminal est notamment garanti par le fait que l'entité de sécurité, ou carte d'utilisateur, est mécaniquement maintenue au contact du terminal, et plus précisément positionnée en son sein. Ainsi, l'utilisation du terminal est possible uniquement en présence de l'entité de sécurité. Dans un mode de réalisation de la présente invention, le niveau de sécurité d'utilisation du terminal repose sur l'authentification préalable de l'entité et du terminal, ainsi que sur la transmission sécurisée de la donnée de sécurité depuis l'entité de sécurité jusqu'au terminal. Ainsi, puisque le niveau de sécurité d'utilisation du terminal ne repose pas sur la présence de l'entité de sécurité, il n'est pas requis qu'une liaison entre le terminal et l'entité de sécurité soit maintenue pendant l'utilisation du terminal. Une fois que la donnée de sécurité lui a été transmise, le terminal peut être utilisé sans liaison entre l'entité de sécurité et lui-même. En outre, grâce à un tel procédé de gestion, il est possible de changer l'utilisateur du terminal de manière aisée, sans avoir à procéder à une manipulation mécanique, suivie d'une initialisation électrique, comme dans le cas où l'entité de sécurité est placée dans le terminal et maintenue mécaniquement en son sein. En effet, dans ce cas, le niveau de sécurité de l'utilisation d'un terminal repose notamment sur l'authentification mutuelle entre terminal et entité de

4

sécurité. On peut de ce fait prévoir que la liaison sécurisée établie entre l'entité de sécurité et le terminal est sans contact et est établie de manière temporaire, simplement pour permettre la transmission de la donnée de sécurité. Dans de telles conditions, il est alors facile de mettre en oeuvre un changement d'utilisateur du terminal. Un tel procédé de gestion peut donc être avantageusement mis en oeuvre pour l'utilisation banalisée de terminaux. Dans un mode de réalisation de la présente invention, au moins un premier gestionnaire est en charge de gérer des paramètres de sécurité relatifs à des terminaux et au moins un second gestionnaire est en charge de gérer des paramètres de sécurité relatifs à des utilisateurs des terminaux. Dans ce contexte, les premiers paramètres d'authentification qui stockés sur l'entité de sécurité peuvent correspondre à un premier paramètre de sécurité fourni par le second gestionnaire et un deuxième paramètre de sécurité indiquant le premier gestionnaire ; et les seconds paramètres d'authentification qui sont stockés sur le terminal peuvent correspondre à un troisième paramètre de sécurité fourni par le premier gestionnaire et un quatrième paramètre de sécurité indiquant le deuxième gestionnaire. Dans un mode de réalisation de la présente invention, on prévoit de mettre en oeuvre un effacement de la donnée de sécurité au niveau du terminal sur une action effectuée au niveau du terminal et, dans ce cas là, le terminal notifie l'entité de sécurité de cet effacement. En procédant ainsi, l'entité de sécurité peut être informée à la fois de la transmission de la donnée de sécurité à un terminal, et de l'effacement de cette donnée de sécurité au niveau de ce terminal. Elle peut donc gérer un état d'utilisation de la donnée de sécurité qu'elle stocke par un ou plusieurs terminaux selon un mode de réalisation de la présente invention. Dans un mode de réalisation, avant l'étape /3/, le terminal s'enregistre auprès d'un réseau sur la base d'un identifiant préalablement stocké au niveau du terminal. Ainsi, avant même que le terminal n'ait récupéré une donnée de sécurité depuis une entité de sécurité, il est en mesure de s'enregistrer auprès du réseau. II peut ainsi disposer d'au moins certains services offerts par ce réseau sur la base d'un identifiant qui lui est propre, c'est-à-dire qui peut ne pas être lié à l'utilisateur du terminal. Après l'étape /3/, le terminal peut s'enregistrer auprès d'un réseau sur la base d'un identifiant sécurisé obtenu à partir de la donnée de sécurité. 5 Dans ce cas, l'enregistrement du terminal est effectué sur la base d'un identifiant relatif à l'utilisateur. On peut donc prévoir que les services auxquels peut accéder le terminal suite à un enregistrement ainsi basé sur un identifiant d'utilisateur soient plus nombreux que ceux auxquels le terminal peut accéder sur un simple enregistrement basé sur un identifiant préalablement stocké sur le terminal, qui peut être un identifiant propre au terminal. Un deuxième aspect de la présente invention propose un procédé de gestion d'utilisation sécurisée d'un terminal présentant au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité ; une entité de sécurité stockant ladite donnée de sécurité et des premiers paramètres d'authentification ; et le terminal stockant des seconds paramètres d'authentification ; ledit procédé comprenant les étapes suivantes, au niveau de l'entité de sécurité: /1/ effectuer une authentification du terminal sur la base des premiers 20 et seconds paramètres d'authentification ; /2/ établir une liaison sécurisée sans contact avec le terminal ; et /3/ transmettre au terminal, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée. Lorsqu'au moins un premier gestionnaire est en charge de gérer des 25 paramètres de sécurité relatifs à des terminaux et au moins un second gestionnaire est en charge de gérer des paramètres de sécurité relatifs à des utilisateurs desdits terminaux, les premiers paramètres d'authentification stockés sur l'entité de sécurité peuvent correspondre à un premier paramètre de sécurité fourni par le second gestionnaire et un deuxième paramètre de 30 sécurité indiquant le premier gestionnaire ; et les seconds paramètres d'authentification stockés sur le terminal peuvent correspondre à un troisième

6

paramètre de sécurité fourni par le premier gestionnaire et un quatrième paramètre de sécurité indiquant le deuxième gestionnaire. L'entité de sécurité peut gérer un état d'utilisation qui est mis à jour : sur transmission de la donnée de sécurité à un terminal ; et - sur réception d'une notification d'effacement de la donnée de sécurité depuis le terminal. Un troisième aspect de la présente invention propose un terminal adapté pour mettre en oeuvre un procédé de gestion selon le premier aspect de la présente invention.

Un quatrième aspect de la présente invention propose une entité de sécurité adaptée pour mettre en oeuvre un procédé de gestion selon le deuxième aspect de la présente invention. Un cinquième aspect de la présente invention propose un système de gestion d'utilisation sécurisée de terminal comprenant un terminal selon le troisième aspect de la présente invention et une entité de sécurité selon le quatrième aspect de la présente invention. D'autres aspects, buts et avantages de l'invention apparaîtront à la lecture de la description d'un de ses modes de réalisation. L'invention sera également mieux comprise à l'aide des dessins, sur lesquels : la figure 1 illustre les principales étapes d'un procédé de gestion selon un mode de réalisation de la présente invention ; la figure 2 illustre une architecture d'un terminal et d'une entité de sécurité selon un mode de réalisation de la présente invention ; la figure 3 illustre un échange de messages relatifs à la gestion d'identifiant sécurisé à l'intérieur d'un terminal entre différentes fonctionnalités de ce terminal, selon un mode de réalisation de la présente invention ; la figure 4 illustre un échange de messages relatifs à la gestion d'identifiant sécurisé entre différentes fonctionnalités de ce terminal, dans le cas où que le terminal s'est déjà enregistré auprès d'un réseau sur la base d'un identifiant propre ; et 7

- la figure 5 illustre un échange de messages mis en oeuvre pour effacer une donnée de sécurité stockée sur un terminal selon un mode de réalisation de la présente invention. La figure 1 illustre les principales étapes d'un procédé de gestion selon 5 un mode de réalisation de la présente invention mises en oeuvre au niveau d'un terminal. Un terminal selon un mode de réalisation de la présente invention met en oeuvre au moins une fonctionnalité qui est initialement bloquée. On entend par les termes `fonctionnalité bloquée' le fait que la fonctionnalité ne peut pas 10 être utilisée dans le terminal sans être préalablement débloquée sur la base d'une donnée de sécurité. On entend par les termes `donnée de sécurité', une clé cryptographique ou bien des paramètres de contrôle d'accès. Ainsi, pour utiliser au moins une certaine fonction du terminal selon un 15 mode de réalisation de la présente invention, il convient de récupérer une donnée de sécurité qui débloque la fonctionnalité bloquée du terminal. Une telle donnée de sécurité peut avantageusement être stockée sur n'importe quel support de stockage qui est en mesure à la fois de stocker cette donnée de sécurité et de communiquer avec le terminal considéré. 20 Aucune limitation n'est attachée à la présente invention au regard de l'entité de sécurité qui stocke la donnée de sécurité. Afin de garantir un certain niveau de sécurité d'utilisation du terminal selon un mode de réalisation de la présente invention, il est prévu de ne transférer la donnée de sécurité stockée sur une entité de sécurité qu'après 25 une étape d'authentification 21. Cette étape d'authentification permet au terminal d'authentifier l'entité de sécurité depuis laquelle il est susceptible de recevoir une donnée de sécurité débloquant une de ses fonctionnalités. Sur la base de cette étape 21, le terminal est en mesure de vérifier que l'entité de sécurité est une entité depuis laquelle il peut recevoir des données en toute 30 sécurité. Ainsi, l'utilisation du terminal, ou plus précisément le déblocage de la fonctionnalité bloquée sur ce terminal, est soumise à un contrôle qui garantit un niveau de sécurité quant à l'identité de l'utilisateur du terminal.

8

Cette étape d'authentification est basée sur des informations partagées entre le terminal et l'entité de sécurité. Ainsi, au niveau du terminal sont stockés des paramètres d'authentification qui permettent à la fois de se faire authentifier auprès de l'entité et d'authentifier l'entité elle-même. Il en est de même du côté de l'entité qui stocke des paramètres d'authentification qui lui permettent de s'authentifier auprès du terminal et d'authentifier le terminal. Une telle authentification mutuelle est mise en oeuvre, avantageusement, avant l'établissement de la liaison sans contact sécurisée. Dans un mode de réalisation de la présente invention, ces paramètres d'authentification correspondent à différents types de paramètres de sécurité relatifs à différentes organisations. Ainsi, des organisations sont en charge de fournir de tels paramètres de sécurité d'un côté pour des terminaux et d'un autre côté pour des utilisateurs de ces terminaux, de façon à sécuriser l'utilisation de ces terminaux.

Ainsi, il est prévu un premier gestionnaire en charge de gérer les paramètres de sécurité des terminaux et un second gestionnaire en charge de gérer les paramètres de sécurité des entités de sécurité, c'est-à-dire de cartes d'utilisateur, permettant à un utilisateur de pouvoir utiliser un des terminaux. Le premier gestionnaire est adapté pour générer des premiers paramètres de sécurité pour les terminaux, tous ces premiers paramètres de sécurité étant associés à un unique paramètre de sécurité, noté term_public_credential, qui indique le premier gestionnaire. Le second gestionnaire est adapté pour générer des seconds paramètres de sécurité pour les utilisateurs de terminaux, tous ces seconds 25 paramètres de sécurité étant associés à un unique paramètre de sécurité, noté org_public_credential, qui indique le second gestionnaire. Les premiers et seconds paramètres de sécurité peuvent par exemple correspondre à des couples de clés respectifs composés d'une clé privée et d'une clé publique. Ils peuvent également correspondre à des certificats 30 relevant de la cryptographie asymétrique.

9

Les paramètres de sécurité unique, indiquant un gestionnaire, peuvent correspondre à des clés publiques sur la base desquelles on peut vérifier l'identité du gestionnaire fournisseur de paramètres de sécurité. On peut prévoir qu'au niveau du terminal soient stockés, d'une part, un paramètre de sécurité indiquant le second gestionnaire, c'est-à-dire celui qui est en charge de gérer les paramètres de sécurité relatifs aux utilisateurs, et donc aux entités de sécurité, et, d'autre part, au moins un paramètre de sécurité fourni par le premier gestionnaire. Inversement, au niveau d'une entité de sécurité, il peut être prévu de stocker, d'une part, un paramètre de sécurité indiquant le premier gestionnaire, et d'autre part, un paramètre de sécurité fourni par le second gestionnaire. Ainsi, sur la base de ces paramètres de sécurité, le terminal peut vérifier que l'entité de sécurité correspondante appartient à un utilisateur qui est autorisé à l'utiliser. En effet, le terminal reçoit le paramètre de sécurité fourni par le second gestionnaire depuis l'entité de sécurité et peut ainsi déterminer si ce paramètre de sécurité a été fourni par le second gestionnaire indiqué par le paramètre de sécurité qu'il stocke. La même opération peut être réalisée au niveau de l'entité de sécurité également. L'authentification mutuelle entre le terminal et l'entité de sécurité peut être mise en oeuvre sur la base d'un protocole déjà connu, par exemple à l'occasion d'un accord de clé tel que défini dans ISO/IEC 11770-2 Technologies de l'information ù Techniques de sécurité ù Gestion de clés ù Partie 3: Mécanismes utilisant des techniques asymétriques . On peut prévoir que, dans le cas où les paramètres de sécurité stockés sur le terminal et sur l'entité de sécurité ne sont pas cohérents entre eux, comme par exemple lorsque le terminal et l'entité de sécurité ne sont pas autorisés par leurs gestionnaires respectifs à coopérer, l'étape d'authentification échoue et le procédé est alors stoppé. Une fois que le terminal a authentifié l'entité de sécurité et que cette 30 dernière a authentifié le terminal, on procède, à une étape 22, à la poursuite de

10

l'établissement d'une liaison sécurisée entre le terminal et l'entité de sécurité. Cette liaison sécurisée peut être établie selon tout type de protocole d'accord de clé ou de transport de clé, par exemple tels que défini dans ISO/IEC 11770-2.

Ensuite, à une étape 23, l'entité de sécurité transmet la donnée de sécurité au terminal. Ce dernier la stocke. II est alors en mesure de débloquer la fonctionnalité dont la mise en oeuvre est initialement bloquée, grâce à cette donnée de sécurité. Ainsi, un utilisateur qui détient une entité de sécurité peut avoir accès à la fonction correspondante du terminal, c'est-à-dire celle qui peut être mise en oeuvre grâce à la fonctionnalité débloquée du terminal. Ce terminal peut par exemple disposer de certains services offerts dans un réseau grâce à la fonctionnalité débloquée. Une fois que la donnée de sécurité est stockée sur le terminal, il n'est pas requis que la liaison entre le terminal et l'entité de sécurité correspondante soit maintenue. En effet, il suffit que cette liaison soit établie temporairement pour la transmission de la donnée de sécurité. La figure 2 illustre une architecture d'un terminal et d'une entité de sécurité selon un mode de réalisation de la présente invention.

Un terminal 21 selon un mode de réalisation de la présente invention comprend : une unité d'authentification 61 adaptée pour effectuer une authentification 21 de l'entité de sécurité sur la base des premiers et seconds paramètres d'authentification ; une entité de gestion de liaison 62 adaptée pour établir 22 une liaison sécurisée sans contact avec l'entité de sécurité ; et un récepteur 63 adapté pour recevoir 23, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée sur ladite entité de sécurité.

Le terminal peut comprendre en outre une unité de gestion de stockage 64 adaptée pour stocker la donnée de sécurité reçue et pour l'effacer sur une action spécifique.

11

Une entité de sécurité, selon un mode de réalisation de la présente invention, comprend : une unité d'authentification 71 adaptée pour effectuer une authentification du terminal sur la base des premiers et seconds paramètres d'authentification ; une entité de gestion de liaison 72 adaptée pour établir 22 une liaison sécurisée sans contact avec le terminal ; et - un émetteur 73 adapté pour émettre, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée.

Elle peut en outre comprendre une entité de gestion d'état 74 adaptée pour mettre à jour un état : sur transmission de la donnée de sécurité à un terminal ; et sur réception d'une notification d'effacement de la donnée de sécurité depuis un terminal.

Elle peut ainsi connaitre l'utilisation de cette donnée de sécurité au niveau terminal. Le terminal 21 comprend en outre une fonctionnalité PWR 201 de mise sous tension ou de mise hors tension du terminal. Il comprend en outre une fonctionnalité d'interface IF 204 en charge de gérer la réception au niveau du terminal et la transmission de signaux depuis le terminal vers une entité de sécurité. Cette fonctionnalité d'interface IF 204 peut avoir en charge la détection de la présence d'une entité de sécurité selon un mode de réalisation de la présente invention. Aucune limitation n'est attachée à la mise en oeuvre d'une telle détection de présence d'entité de sécurité.

On peut prévoir que les unités d'authentification 61, de gestion de liaison 62 et le récepteur 63 soient localisés au sein de la fonctionnalité IF 204. La liaison sans contact entre le terminal et l'entité de sécurité peut être de type NFC (pour 'Near Field Communication' en anglais), comme par exemple les normes ISO/IEC 14443, ISO/IEC 18092 et ISO/IEC 21481 (pour 'International Organization Standardization/ International Electrotechnical Commission'). Dans ce cas, cette liaison peut être établie lorsque la distance entre le terminal et l'entité d'identifiant est comprise entre 4 cm et 10 cm

12

environ. Cette distance étant relativement faible, le niveau de sécurité de la liaison est élevé et en outre la consommation d'énergie est avantageusement relativement faible au niveau du terminal. On peut également envisager que l'interface radio entre le terminal et l'entité de sécurité soit d'un autre type qui supporte de plus grandes distances entre le terminal et l'entité de sécurité, comme par exemple la norme ISOIIEC 15693. Le terminal a également une fonctionnalité BB 202 (pour 'Base Band' en anglais) offrant les fonctions principales du terminal lorsqu'il est sous tension via la fonctionnalité PWR 201. Il présente également une fonctionnalité CRYPT 203 offrant à la fonctionnalité BB une pluralité de fonctions de sécurité. Ainsi, dans le mode de réalisation décrit ici, la fonctionnalité sécurisée est la fonction CRYPT 203. Cette dernière est donc initialement bloquée. Pour que certaines fonctions reposant sur la fonctionnalité CRYPT puissent être mises en oeuvre, il est requis de posséder une donnée de sécurité. Une partie de la fonctionnalité CRYPT 203 peut être utilisée à l'étape d'authentification 21. A cet effet, on peut prévoir que les paramètres de sécurité stockés au niveau du terminal, le sont plus précisément au niveau de la fonctionnalité CRYPT.

Dans un mode de réalisation de la présente invention, la fonctionnalité IF 204 du terminal 21 est mise en éveil lors d'une transition de l'état `off' vers l'état `on' de la fonctionnalité PWR . La fonctionnalité BB 202 peut ne pas démarrer tant que la fonctionnalité CRYPT 203 n'est pas débloquée, avec une donnée de sécurité correspondante reçue par la mise en oeuvre des étapes 21 à 23 décrites précédemment. Puis, une fois débloquée, la fonctionnalité CRYPT 203 peut assurer un démarrage sécurisé (ou `secure bootstrap' en anglais) du service BB. Le terminal peut, par la suite, utiliser des paramètres de sécurité dérivés à partir des paramètres de sécurité fournis par le second gestionnaire dans des transactions ultérieures dans le cadre de son utilisation au sein d'un réseau de communication.

13

De manière optionnelle, la fonctionnalité IF 204 est mise en veille jusqu'à la prochaine transition de l'état 'off à l'état 'on' de la fonctionnalité PWR 201 ou encore, jusqu'à ce qu'une action manuelle soit effectuée par l'utilisateur au niveau du terminal.

Dans un autre mode de réalisation de la présente invention, la fonctionnalité IF 204 est mise en éveil lors d'une transition de 'off vers 'on' de la fonctionnalité PWR 201 du terminal et la fonctionnalité CRYPT 203 assure immédiatement un démarrage sécurisé (ou 'secure bootstrap' en anglais) de la fonctionnalité BB même si la donnée de sécurité n'a pas encore été reçue.

Dans ce cas, le terminal 21 peut offrir des services à l'utilisateur avant de recevoir la donnée de sécurité stockée sur l'entité de sécurité qu'il utilise. On peut ainsi prévoir que, pour effectuer les premiers échanges de la fonctionnalité de BB avec le réseau, le terminal utilise certains paramètres dont il dispose, comme notamment un identifiant propre au terminal, noté terminal_id, et, le cas échéant, un jeu de paramètres de sécurité qui sont également propres au terminal et gérés au niveau du réseau considéré. Grâce à un tel enregistrement au niveau du réseau, le terminal peut avantageusement disposer de certains services offerts dans le réseau alors qu'il ne dispose pas encore de la donnée de sécurité.

Dans ce cas, de manière parallèle, ou indépendante, la fonctionnalité IF 204 du terminal peut détecter la présence d'une entité de sécurité 12 à proximité. Puis, lorsque la présence d'une telle entité de sécurité est détectée, on peut alors mettre en oeuvre les étapes 21 à 23 du procédé selon un mode de réalisation de la présente invention, afin de récupérer la donnée de sécurité qui permet de débloquer la fonctionnalité CRYPT 203. Une fois que la donnée de sécurité est récupérée au niveau du terminal, ce dernier est alors en mesure de procéder à un autre enregistrement au niveau du réseau sur la base d'un identifiant sécurisé obtenu à partir de la donnée de sécurité récupérée depuis l'entité de sécurité, cet enregistrement faisant suite à l'enregistrement effectué sur la base de son identifiant propre, terminal_id. Ainsi, le terminal peut avantageusement se réinscrire auprès du

14

réseau sous sa nouvelle identité, qui est sécurisée, et qui est issue de la donnée de sécurité. On peut ici notamment envisager que l'utilisateur peut accéder à une plus grande variété de services offerts dans le réseau, une fois qu'il a récupéré la donnée de sécurité. On peut en outre prévoir que, une fois la donnée de sécurité récupérée et stockée au niveau du terminal, la fonctionnalité BB 202 informe un équipement du réseau 22, comme par exemple un serveur d'annuaire du réseau, de l'association entre l'identifiant terminal id et l'identité issue de la donnée de sécurité. La procédure de récupération de la donnée de sécurité peut être mise en oeuvre à nouveau, au niveau d'un terminal qui a déjà récupéré une donnée de sécurité, soit sur une action manuelle de l'utilisateur au niveau du terminal comme par exemple une pression d'une touche ou d'une succession de plusieurs touches de terminal, soit sur une nouvelle transition de l'état `off' vers l'état 'on' au niveau de la fonctionnalité PWR 201, ce qui sous entend qu'une transition de l'état `on' vers l'état `off ait été effectuée préalablement. La figure 3 représente, dans un mode de réalisation de la présente invention, les échanges de messages relatifs à la gestion d'identifiant entre les fonctionnalités BB 202, CRYPT 203 et IF 204 d'un terminal, lorsque l'état opérationnel de la fonctionnalité PWR passe de `Off à 'On'. Un message de commande d'éveil 31 de la fonctionnalité IF 204 est émis par la fonctionnalité BB 202. La réception de ce message 31 au niveau de la fonctionnalité IF 204 déclenche la mise en oeuvre d'une étape de détection de présence 32 d'une carte d'utilisateur, ou entité de sécurité 12. Lorsqu'une entité de sécurité 12 est détectée dans le voisinage du terminal 11, un message 33 de notification de changement d'état est émis depuis la fonctionnalité IF 204 à destination de la fonctionnalité CRYPT 203. Puis, une authentification mutuelle 34 est alors mise en oeuvre entre la fonctionnalité CRYPT 203 et l'entité de sécurité 12 via la fonctionnalité IF 204. Suite à cette étape d'authentification, une liaison sans contact sécurisée est

15

alors établie, et l'entité de sécurité 12 transmet la donnée de sécurité via la fonctionnalité IF 204 par un message d'information 35. Sur réception de ce message d'information 35, la fonctionnalité CRYPT 203 stocke la donnée de sécurité ainsi reçue, via l'unité de gestion de stockage 64. Puis, un échange de messages 36 de déblocage est mis en oeuvre entre la fonctionnalité CRYPT 203 et la fonctionnalité BB 202 visant à débloquer les services offerts à l'utilisateur du terminal via la fonctionnalité BB 202. On peut en outre prévoir un message de commande de mise en veille 27 émis par la fonctionnalité BB 202 vers la fonctionnalité IF 204. Ce message de commande de mise en veille peut être avantageusement émis après que l'échange de messages de déblocage 36 ait été effectué. Ainsi, il est possible de mettre en veille la fonctionnalité IF 204 du terminal, une fois que ce dernier a récupéré la donnée de sécurité selon un mode de réalisation de la présente invention. La figure 4 représente, dans un mode de réalisation de la présente invention, les échanges de messages relatifs à la gestion d'identifiant à l'intérieur d'un terminal entre les fonctionnalités BB 202, CRYPT 203 et IF 204, lorsque la fonctionnalité PWR 201 est déjà dans l'état opérationnel 'On' et que le terminal s'est déjà enregistré auprès d'un réseau sur la base d'un identifiant propre. On peut ici prévoir que, par une action manuelle de l'utilisateur sur le terminal, il soit possible de demander un changement d'enregistrement auprès de la fonctionnalité BB 202. Ainsi, par exemple sur l'action d'une touche de terminal ou d'une succession de touches, un message de changement d'enregistrement 41 est émis à destination de la fonctionnalité BB 202. Sur réception de ce message 41, la fonctionnalité BB 202 émet un message de commande d'éveil 31 à destination de la fonctionnalité IF 204. Ce message de commande d'éveil 31 peut être émis par la fonctionnalité BB 202 en parallèle à d'autres tâches qu'elle met en oeuvre suite à l'enregistrement du terminal déjà effectué dans le réseau sur la base de son identifiant propre, terminal_id. Une fois la fonctionnalité IF 204 activée, une 16

étape de détection de présence 32 d'une entité de sécurité 12 est mise en oeuvre. Puis, lorsque la présence d'une entité de sécurité est détectée, la fonctionnalité IF 204 change d'état et le notifie à la fonctionnalité CRYPT 203 5 via un message 33 de notification de changement d'état. Une étape d'authentification mutuelle 34 entre le terminal 11 et l'entité de sécurité 12 est alors mise en oeuvre. Ensuite, l'entité de sécurité transmet la donnée de sécurité au terminal via une liaison sans contact sécurisée par un message d'information 35. La donnée de sécurité est ensuite stockée au 10 niveau de la fonctionnalité CRYPT 203. Une fois que la donnée de sécurité est stockée au niveau de la fonctionnalité CRYPT 203, cette dernière initie un échange de messages 42 avec la fonctionnalité BB 202 visant à interrompre les autres taches qui sont gérées au niveau de la fonctionnalité BB et qui sont relatives aux services 15 disponibles suite à l'enregistrement déjà effectué avec l'identifiant propre du terminal. A ce stade, le terminal 11 dispose donc de la donnée de sécurité, il est donc en mesure d'en déduire un identifiant sécurisé, sur la base duquel il peut s'enregistrer auprès du réseau 22. A cet effet, il peut donc être prévu un 20 échange de messages 43 entre la fonctionnalité BB 202 et le réseau 22. Dans ce mode de réalisation également, on peut ensuite prévoir de mettre en veille la fonctionnalité IF 204 comme en référence à la figure 3, en émettant au niveau de la fonctionnalité BB 202 un message de mise en veille 37 à destination de la fonctionnalité IF 204. 25 Dans un mode de réalisation de la présente invention, il est prévu que la donnée de sécurité puisse être effacée au niveau du terminal où elle est stockée au cours de la mise en oeuvre d'un procédé de gestion selon un mode de réalisation de la présente invention. En effet, afin que le terminal puisse être utilisé par un autre utilisateur, il 30 convient de prévoir un effacement de la donnée de sécurité provenant de l'entité de sécurité, ou carte d'utilisateur.

17

Aucune limitation n'est attachée à l'action qui déclenche un tel effacement de donnée sécurisée au niveau du terminal. Une telle procédure d'effacement peut être déclenchée sur mise hors tension du terminal, c'est-à-dire lorsque la fonctionnalité PWR 201 passe de l'état opérationnel 'On' à l'état opérationnel 'Off. On peut également envisager que l'appui d'une touche ou d'une succession de touches de terminal par l'utilisateur déclenche l'effacement de cette donnée de sécurité. La figure 5 illustre un échange de messages mis en oeuvre pour effacer la donnée de sécurité stockée sur le terminal selon un mode de réalisation de 10 la présente invention. Quelque soit l'action qui déclenche la procédure d'effacement de la donnée de sécurité au niveau du terminal selon un mode de réalisation de la présente invention, la fonctionnalité BB 202 émet à destination de la fonctionnalité CRYPT 203 un message d'effacement 51 requérant à la 15 fonctionnalité CRYPT d'effacer la donnée de sécurité qu'elle a stockée. Cette fonctionnalité CRYPT 203 efface, à une étape 52, la donnée de sécurité stockée. Une fois cette étape 52 réalisée, un message 53 de notification d'effacement est alors émis à destination de l'entité de sécurité 12 via la fonctionnalité IF 204.

20 II convient de noter que la transmission de ce message de notification d'effacement 53 requiert que la fonctionnalité IF 204 ne soit pas en mode veille mais en mode actif. Par conséquent, si cette fonctionnalité IF 204 est en mode veille, il est ici prévu de commander préalablement son changement de mode par l'émission, depuis la fonctionnalité BB 202 à destination de la fonctionnalité 25 IF 204, d'un message de commande d'éveil 31. On peut prévoir, alternativement, de notifier l'entité de sécurité d'un effacement de la donnée de sécurité, avant l'effacement effectif de la donnée de sécurité par la fonctionnalité CRYPT 203. En procédant ainsi, l'entité de sécurité 12 est en mesure de savoir si la 30 donnée de sécurité qui est stockée à son niveau, l'est également sur un terminal ou non. Une telle entité de sécurité peut donc gérer un état d'utilisation qui indique si la donnée de sécurité est stockée sur un terminal ou non.

Claims

REVENDICATIONS1. Procédé de gestion d'utilisation sécurisée d'un terminal (11) présentant au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité ; une entité de sécurité (12) stockant ladite donnée de sécurité et des premiers paramètres d'authentification ; et le terminal stockant des seconds paramètres d'authentification ; ledit procédé comprenant les étapes suivantes, au niveau du terminal : /1/ effectuer (21) une authentification de l'entité de sécurité sur la base des premiers et seconds paramètres d'authentification ; /2/ établir (22) une liaison sécurisée sans contact avec l'entité de sécurité ; et /3/ recevoir (23), au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée sur ladite entité de sécurité.
2. Procédé de gestion selon la revendication 1, dans lequel, au moins un premier gestionnaire étant en charge de gérer des paramètres de sécurité relatifs à des terminaux et au moins un second gestionnaire étant en charge de gérer des paramètres de sécurité relatifs à des utilisateurs desdits terminaux ; les premiers paramètres d'authentification stockés sur l'entité de sécurité correspondent à un premier paramètre de sécurité fourni par le second gestionnaire et un deuxième paramètre de sécurité indiquant le premier gestionnaire ; et les seconds paramètres d'authentification stockés sur le terminal correspondent à un troisième paramètre de sécurité fourni par le premier 25 gestionnaire et un quatrième paramètre de sécurité indiquant le deuxième gestionnaire. 19
3. Procédé de gestion selon la revendication 1 ou 2, dans lequel un effacement de la donnée de sécurité est mis en oeuvre sur une action au niveau du terminal, et dans lequel le terminal notifie (53) l'entité de sécurité (12) dudit effacement.
4. Procédé de gestion selon l'une quelconque des revendications précédentes, dans lequel, avant l'étape /3/, le terminal s'enregistre auprès d'un réseau (22) sur la base d'un identifiant préalablement stocké au niveau du terminal.
5. Procédé de gestion selon l'une quelconque des revendications précédentes, dans lequel, après l'étape /3/, le terminal s'enregistre auprès d'un réseau (22) sur la base d'un identifiant sécurisé obtenu à partir de la donnée de sécurité. 15
6. Procédé de gestion d'utilisation sécurisée d'un terminal (11) présentant au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité ; une entité de sécurité (12) stockant ladite donnée de sécurité et des premiers paramètres d'authentification ; et 20 le terminal stockant des seconds paramètres d'authentification ; ledit procédé comprenant les étapes suivantes, au niveau de l'entité de sécurité: /1/ effectuer une authentification du terminal sur la base des premiers et seconds paramètres d'authentification ; 25 /2/ établir une liaison sécurisée sans contact avec le terminal ; et /3/ transmettre au terminal, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée.
7. Procédé de gestion selon la revendication 6, dans lequel, au moins un 30 premier gestionnaire étant en charge de gérer des paramètres de sécurité relatifs à des terminaux et au moins un second gestionnaire étant en charge de gérer des paramètres de sécurité relatifs à des utilisateurs desdits terminaux ; 10 20 les premiers paramètres d'authentification stockés sur l'entité de sécurité correspondent à un premier paramètre de sécurité fourni par le second gestionnaire et un deuxième paramètre de sécurité indiquant le premier gestionnaire ; et les seconds paramètres d'authentification stockés sur le terminal correspondent à un troisième paramètre de sécurité fourni par le premier gestionnaire et un quatrième paramètre de sécurité indiquant le deuxième gestionnaire.
8. Procédé de gestion selon la revendication 6 ou 7, dans lequel l'entité de sécurité (12) gère un état d'utilisation qui est mis à jour : sur transmission (35) de la donnée de sécurité à un terminal ; et sur réception d'une notification d'effacement de la donnée de sécurité depuis le terminal.
9. Terminal à utilisation sécurisée (11) présentant au moins une fonctionnalité sécurisée sur la base d'une donnée de sécurité stockée sur une entité de sécurité (12) ; ladite entité de sécurité stockant en outre des premiers paramètres 20 d'authentification ; et le terminal stockant des seconds paramètres d'authentification ; ledit terminal comprenant : une unité d'authentification (61) adaptée pour effectuer une authentification (21) de l'entité de sécurité sur la base des 25 premiers et seconds paramètres d'authentification ; - une entité de gestion de liaison (62) adaptée pour établir (12) une liaison sécurisée sans contact avec l'entité de sécurité ; et un récepteur (63) adapté pour recevoir (23), au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée sur 30 ladite entité de sécurité.
10. Terminal selon la revendication 9, comprenant en outre une entité de gestion de stockage (64) adaptée pour stocker la donnée de sécurité reçue et pour effacer ladite donnée de sécurité sur une action spécifique.
11. Entité de sécurité (12) stockant une donnée de sécurité et adaptée pour coopérer avec un terminal présentant au moins une fonctionnalité sécurisée sur la base de ladite donnée de sécurité ; le terminal stockant des seconds paramètres d'authentification ; ladite entité de sécurité stockant en outre des premiers paramètres d'authentification et comprenant : - une unité d'authentification (71) adaptée pour effectuer une authentification du terminal sur la base des premiers et seconds paramètres d'authentification ; - une entité de gestion de liaison (72) adaptée pour établir (12) une liaison sécurisée sans contact avec le terminal ; et - un émetteur (73) adapté pour émettre, au cours de ladite liaison sécurisée sans contact, la donnée de sécurité stockée.
12. Entité de sécurité (12) selon la revendication 11 comprenant en outre une entité de gestion d'état (74) adaptée pour mettre à jour un état : sur transmission (35) de la donnée de sécurité à un terminal (11) ; et - sur réception d'une notification d'effacement (53) de la donnée de sécurité depuis un terminal.
13. Système de gestion d'utilisation sécurisée de terminal comprenant un terminal (11) selon la revendication 9 ou 10 et une entité de sécurité (12) selon la revendication 11 ou 12. 30