FR2940731A1

FR2940731A1 - Procede et systeme de gestion des titres d'une pluralite d'individus appartenant a un meme groupe

Info

Publication number: FR2940731A1
Application number: FR0859159A
Authority: FR
Inventors: Marc Bertin; Pierrick Delolme
Original assignee: Oberthur Technologies SA
Current assignee: Idemia France SAS
Priority date: 2008-12-31
Filing date: 2008-12-31
Publication date: 2010-07-02
Anticipated expiration: 2028-12-31
Also published as: FR2940731B1

Abstract

Ce système de gestion des titres d'une pluralité d'individus appartenant à un même groupe comporte : - un dispositif émetteur de titres (500) comportant des moyens pour obtenir un attribut d'au moins un titre pour chaque individu du groupe, des moyens pour créer, pour chaque individu, une structure de données permettant d'obtenir les attributs des titres émis pour cet individu, et des moyens pour mettre chacune de ces structures de données à disposition d'un terminal (300 ) de l'individu (I ) pour qui la structure de données a été créée ; - ces terminaux (300 ), chacun comportant : - des moyens d'obtention d'au moins un titre comportant un attribut obtenu à partir de la structure de données ; et - des moyens de communication sans fil courte portée aptes à envoyer le titre à un dispositif tiers comportant des moyens de vérification de la validité du titre; et - le dispositif tiers (200).

Description

Arrière-plan de l'invention L'invention concerne un système pour gérer des titres d'un groupe d'individus. Dans ce document, la notion de titre doit être interprétée au sens large. Elle vise tout type de document offrant un droit au moins temporaire à un individu, ce droit étant susceptible d'être vérifié par un tiers. A titre d'exemple, un ticket-restaurant, un bon de réduction, un titre de paiement et un document offrant un droit d'accès à un bâtiment sont des titres au sens de l'invention.

Les inconvénients de l'état actuel de la technique peuvent être illustrés dans le cas particulier de la gestion des tickets-restaurant des employés d'une entreprise. De façon connue, il est fréquent qu'une entreprise propose des tickets-restaurant à ses employés, chacun de ces tickets-restaurant comportant notamment le logo de la société émettrice, le nom de l'entreprise et une date de validité. La gestion des tickets-restaurant est très contraignante, un employé ayant droit à un et un seul ticket-restaurant par jour de travail effectif, les jours d'absence du salarié en étant exclus, quel que soit le motif, et notamment pour cause de maladie ou de congés. Tant du point de vue de l'employeur que de celui de l'employé, il est inenvisageable en pratique de distribuer quotidiennement un ticket-restaurant par employé, si bien que l'employeur commande des carnets de plusieurs tickets-restaurant, par exemple dix, un ou plusieurs carnets étant distribués à chaque employé en début de mois. Par ailleurs, un ticket-restaurant ne peut être utilisé que par l'employé auquel il a été remis par l'employeur. Ces contraintes obligent donc l'employeur à commander les carnets de tickets par avance et à maintenir une liste des tickets distribués à chaque employé, tout en veillant à ne pas accumuler trop de carnets de tickets, ceux-ci ayant de façon connue une période de validité déterminée. 1 Ce mécanisme n'est pas satisfaisant.

Objet et résumé de l'invention L'invention vise un système de gestion des titres d'une pluralité d'individus appartenant à un même groupe, qui ne présente pas les inconvénients de l'art antérieur. Les titres gérés par l'invention seront aussi appelés "titres dématérialisés". Ils sont d'utilisation beaucoup plus commode que les titres traditionnels sous forme papier de l'art antérieur. Le système selon l'invention comporte un dispositif émetteur de titres. Conformément à l'invention, ce dispositif émetteur de titres comporte : - des moyens d'obtention des attributs des titres devant être émis pour les individus du groupe ; - des moyens de création, pour chaque individu du groupe, d'une structure de données comportant des informations permettant d'obtenir les attributs des titres émis pour cet individu ; et - des moyens pour mettre chaque structure de données à disposition d'un terminal de l'individu pour qui la structure de données a été créée. La structure de données peut comporter les attributsdes titres. Le système selon l'invention comporte aussi les terminaux des individus. Conformément à l'invention, le terminal d'un individu comporte : - des moyens pour obtenir la structure de données émise par le dispositif émetteur, cette liste permettant au terminal d'obtenir la liste des identifiants des titres émis pour cet individu ; - des moyens pour obtenir au moins un titre comportant un attribut obtenu à partir de cette structure de données; et - des moyens de communication sans fil courte portée aptes à envoyer au moins un titre à un dispositif tiers, ce dispositif tiers comportant des moyens de vérification de la validité de ce titre.

Dans un mode de réalisation particulier, le dispositif émetteur de titres envoie la structure de données au terminal de l'individu. Ce terminal peut notamment être constitué par un téléphone mobile. Mais l'invention s'applique aussi lorsque le terminal de l'individu n'a pas de moyens pour communiquer avec le dispositif émetteur de titres. Par exemple, le terminal d'un individu peut être constitué par une clef USB. Dans ce cas, le dispositif émetteur de titres peut envoyer la structure de données à un ordinateur, par exemple via le réseau Internet, cette structure étant ensuite chargée sur la clef USB lorsque celle-ci est insérée dans un port USB de l'ordinateur, comme de façon connue. Dans un autre mode de réalisation, c'est le terminal qui télécharge la structure de données, par exemple depuis un serveur Web géré par le dispositif émetteur de titres par exemple. L'invention permet ainsi de dématérialiser des titres devant être émis pour l'ensemble des individus d'un groupe déterminé. Grâce à l'invention, la gestion du groupe d'individus pour le dispositif émetteur de titres est particulièrement simple puisqu'il lui suffit de tenir à jour une liste des adresses des terminaux des individus du groupe.

Cette liste peut être communiquée de plusieurs façons au dispositif émetteur de titres. Dans un mode particulier de réalisation, le système selon l'invention comporte une ou plusieurs entités aptes à commander l'émission desdits titres des individus d'un groupe auprès du dispositif émetteur de titres par l'envoi d'une commande comportant des informations suffisantes pour identifier ces individus. La commande peut par exemple comporter la liste des individus, ou lorsque les individus d'un groupe sont connus du dispositif émetteur de titres, simplement l'identifiant du groupe.

La commande peut aussi comporter le nombre de titres à émettre pour chacun des individus, et la valeur de ces titres. Elle peut aussi comporter la date à laquelle les titres doivent être émis. La commande peut aussi comporter les identifiants des terminaux des individus à qui le dispositif émetteur de titres doit envoyer les structures de données concernées.

Dans un mode particulier de réalisation, l'entité précitée envoie la commande sur réception d'une commande émise par un dispositif client. L'invention offre ainsi une grande souplesse. L'invention peut en particulier être utilisée par une entreprise pour gérer les tickets-restaurant de son personnel en envoyant à la société émettrice de ces tickets une liste à jour du personnel de l'entreprise, et éventuellement les identifiants des terminaux de ces individus. Dans un mode particulier de réalisation, un attribut d'un titre est un identifiant de ce titre.

Dans un mode de réalisation particulier, la liste des identifiants des titres devant être émis pour un individu est ordonnée. Dans ce cas, la structure de données peut avantageusement comporter le premier identifiant de la liste et le nombre d'identifiants dans la liste. On obtient ainsi une structure de données plus compacte, surtout si le nombre de titres est important. Pour certaines applications de l'invention, il n'est pas nécessaire que l'identifiant d'un titre soit unique. Par exemple lorsque le titre est un bon offrant une réduction sur un produit pendant une période donnée (offre exceptionnelle), le même identifiant peut être envoyé à plusieurs individus, la seule exigence étant que l'identifiant permette d'identifier cette offre. L'invention peut être utilisée dans des applications pour lesquelles un seul identifiant de titre est envoyé à un terminal, ce titre ayant au surplus une durée de vie très limitée, par exemple quelques secondes. Ce sera notamment le cas, lorsque le titre émis pour un individu est un titre donnant accès à un bâtiment sensible. Dans ce mode particulier de réalisation de l'invention, le terminal pourra être conçu de sorte que le titre soit obtenu directement à partir de la structure de données, celle-ci n'étant pas mémorisée à proprement parler dans le terminal, mais juste chargée en mémoire vive le temps de l'obtention du titre. Dans un autre mode de réalisation, le terminal comporte des moyens de mémorisation d'informations représentatives de la structure de données dans une mémoire non volatile, les moyens d'obtention d'un titre étant aptes à obtenir un titre en accédant à la mémoire non volatile.

Mais dans un mode de réalisation particulier de l'invention, l'identifiant d'un titre identifie ce titre de façon unique. Ce mode de réalisation sera mis en oeuvre dès lors que l'on souhaite pouvoir différentier les titres. Ce sera notamment le cas si on utilise l'invention pour émettre des billets d'avion, les compagnies aériennes exigeant que chaque billet soit nominatif, autrement dit attribué à un individu particulier. Dans un mode de réalisation particulier, l'identifiant d'un titre permet d'identifier le groupe auquel appartient l'individu.

Cette caractéristique facilite énormément la gestion des titres après leur utilisation. Par exemple, dans le cas d'une application de dématérialisation des tickets-restaurant des employés d'une entreprise, il pourra être avantageux d'utiliser l'identifiant de l'entreprise en plus de celui de chacun des individus, l'identifiant de l'entreprise pouvant être utilisé par la société de restauration à des fins statistiques notamment. Pour certaines applications, il peut être souhaitable d'offrir un mécanisme permettant de garantir que seul le terminal pour qui la structure de données a été émise peut effectivement obtenir les titres identifiés par cette structure.

A cet effet, dans un mode particulier de réalisation de l'invention, le dispositif émetteur de titres comporte des moyens de sécurisation d'au moins une structure de données avec une première clef cryptographique associée à l'individu pour qui cette structure de données a été créée. Conformément à l'invention, soit le terminal mobile soit le dispositif tiers doit pouvoir être en mesure de vérifier la validité de la structure de données sécurisée, c'est-à-dire être en mesure d'une part d'authentifier l'émetteur de cette structure de données, et d'autre part de garantir l'intégrité de cette structure de données, par exemple en utilisant une technique de signature cryptographique.

Ainsi, dans une première variante de ce mode de réalisation, le terminal comporte des moyens de vérification de la structure de données sécurisées précitée, ces moyens utilisant une clef cryptographique complémentaire de ladite première clef cryptographique. Et, dans une deuxième variante, non exclusive de la première variante, le dispositif tiers comporte des moyens de vérification de la structure de données sécurisées précitée, ces moyens utilisant une clef cryptographique complémentaire de la première clef cryptographique. Dans ce document, la notion de clef complémentaire doit être comprise au sens large. Il peut s'agir notamment d'une clef publique complémentaire d'une clef privée utilisée par le dispositif émetteur de titres pour signer la structure de données. Il peut aussi s'agir d'une clef identique à la première clef lorsqu'un mécanisme de signature symétrique est utilisé. Dans un mode particulier de réalisation de l'invention, les moyens d'un terminal pour envoyer sans fil, à courte portée, un ou plusieurs titre(s) à un dispositif tiers, sont des moyens conformes à la norme NFC. De préférence, ces moyens seront réglés pour communiquer à une distance de moins de 50 centimètres, préférentiellement moins de 10 centimètres.

On s'assure ainsi que seul un dispositif tiers placé à proximité du terminal utilisateur est apte à recevoir le titre émis par ce terminal. Ce mode de réalisation est particulièrement important lorsque le titre émis par le terminal est associé à une valeur numéraire récupérable par le dispositif tiers, comme un titre de paiement par exemple.

L'invention propose aussi un mode de réalisation particulier qui permet de renforcer la sécurité du système de ce point de vue. Dans ce mode de réalisation, le terminal comporte des moyens de sécurisation de la communication sans fil courte portée avec une deuxième clef cryptographique, le dispositif tiers utilisant une clef cryptographique complémentaire de la deuxième clef pour vérifier la validité dudit titre. Lorsque cette sécurité est mise en oeuvre, on peut permettre une plus grande distance entre le terminal et le dispositif tiers, si bien que d'autres types de moyens de communication sans fil peuvent être utilisés, et notamment des moyens connus de type WiFi ou Bluetooth.

Plusieurs exemples de terminaux selon l'invention ont déjà été mentionnés (téléphone mobile, clef USB, ...). Dans les deux cas, il s'agit d'entités électroniques portables (ou encore de poche, en anglais handheld terminal ). Dans de tels modes de réalisation : - la mémoire non volatile dans laquelle est enregistrée la structure de données ; et/ou les moyens de sécurisation de la communication sans fil courte portée peuvent être incorporés ou connectés à une carte à microcircuit du terminal.

Le système selon l'invention comporte aussi le dispositif tiers, celui- ci comportant des moyens de communication sans fil courte portée aptes à recevoir un ou plusieurs titres émis par un terminal et des moyens de vérification de la validité de ce(s) titre(s). Dans un mode particulier de réalisation, ce dispositif tiers 10 comporte : - des moyens pour mémoriser, dans une mémoire non volatile de ce dispositif, les identifiants des titres reçus de ces terminaux ; - des moyens pour envoyer, à une unité de collecte desdits titres, des données de déchargement représentant au moins un de ces 15 identifiants ; et - des moyens pour supprimer ces identifiants de cette mémoire non volatile. D'une façon générale, l'entité de collecte au sens de l'invention est une entité chargée de récupérer les titres après leur utilisation par le 20 terminal de l'individu. Il peut s'agir, mais cela n'est pas obligatoire, de l'entité qui a commandé l'émission des titres auprès du dispositif émetteur de titres. La suppression des identifiants des titres utilisés de la mémoire non volatile du dispositif tiers peut consister à effacer ces identifiants de la 25 mémoire, ou à enregistrer une information représentative du fait que les identifiants ont été envoyés à l'unité de collecte. Pour certaines applications, il est important de sécuriser cette opération. A cet effet, le dispositif tiers comporte, dans un mode de réalisation particulier de l'invention, des moyens pour sécuriser l'envoi des 30 données de déchargement avec une troisième clef cryptographique, l'unité de collecte comportant des moyens pour vérifier la validité des données de déchargement, ces moyens utilisant une clef complémentaire de la troisième clef cryptographique. Pour certaines applications, il est préférable que le titre soit 35 facilement identifiable par l'utilisateur du dispositif tiers, par exemple au moyen d'un logo ou plus généralement d'une image.

Aussi, dans un mode particulier de réalisation, au moins un terminal selon l'invention comporte : - des moyens pour combiner, dans un document complexe, un titre obtenu par ce terminal avec une image mémorisée dans une mémoire non volatile du terminal ; et - des moyens pour afficher ce document complexe sur un écran du terminal. Dans un mode particulier de réalisation, le terminal comporte des moyens de sélection de l'image dans ladite mémoire non volatile précitée, en fonction du titre avec lequel elle est combinée. Ce mode de réalisation est particulièrement avantageux quand le terminal est utilisé pour créer différents types de titres, par exemple des tickets-restaurant, des billets d'avion, des bons de réduction, des titres d'accès à un bâtiment... Corrélativement, l'invention concerne un procédé de gestion des titres d'une pluralité d'individus appartenant à un même groupe. Ce procédé comporte : - une étape d'obtention d'un paramètre d'au moins un titre pour chaque individu du groupe ; - une étape de création, pour chaque individu du groupe, d'une structure de données comportant des informations permettant d'obtenir les paramètres des titres émis pour cet individu ; une étape pour mettre chaque structure de données à disposition d'un terminal de l'individu pour qui cette structure de données a été créée ; - une étape d'obtention, par le terminal, d'au moins un titre comportant le paramètre obtenu à partir de ladite structure de données reçue par ce terminal; une étape d'envoi, par des moyens de communication sans fil courte portée du terminal, du titre à un dispositif tiers; et une étape de vérification de la validité du titre par ce dispositif tiers. 30 Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout 35 caractère limitatif. Sur les figures : - la figure 1A représente une image et plus précisément une image de fond d'un ticket-restaurant ; - la figure 1B représente un exemple de ticket-restaurant dématérialisé pouvant être utilisé dans un système conforme à l'invention ; - la figure 1C représente un document de présentation combinant un titre dématérialisé et une image de fond d'un ticket-restaurant ; - la figure 2 représente de façon schématique une communication sans fil courte portée entre un terminal et un dispositif tiers d'un système conforme à l'invention ; - la figure 3 représente un système conforme à un mode particulier de réalisation de l'invention ; - les figures 3A, 3B et 3C représentent des exemples de fichiers utilisés dans le système de la figure 3 ; - la figure 4A représente le dispositif émetteur de titres du système de la figure 3 ; - les figures 4B et 4C représentent des commandes pouvant être échangées au sein du système de la figure 3 ; - la figure 4D est un exemple de structure de données sécurisées pouvant être créée par le dispositif émetteur de titres du système de la figure 3 ; - la figure 5A représente un terminal du système de la figure 3 et la figure 5B une carte à microcircuit de ce terminal ; - la figure 6A représente un dispositif tiers du système de la figure 3 et la figure 6B une carte à microcircuit de ce dispositif ; - la figure 7 représente, sous forme d'organigramme, les principales étapes d'un procédé conforme à un mode particulier de réalisation de l'invention ; et - la figure 8 représente une structure de données pouvant être utilisée dans l'invention.

Description détaillée d'un mode de réalisation La figure 1A représente une image 352, cette image représentant le fond d'un ticket-restaurant avec le logo de la société émettrice.

La figure 1B représente un exemple de titre dématérialisé T;k pouvant être utilisé dans un système conforme à l'invention.

Dans l'exemple de réalisation décrit ici, le titre dématérialisé T;k est un ticket-restaurant dématérialisé. Plus précisément il s'agit du kème ticket-restaurant dématérialisé émis pour un individu Ii d'un groupe G.

Ce ticket T;k comporte l'identifiant ID_G du groupe G et l'identifiant ID_ T;k de ce ticket, par exemple un numéro de série de ce ticket. La figure 1C représente un document complexe DC;k combinant le titre dématérialisé Tik de la figure 1B avec l'image 352 de la figure 1A. L'image 352 est choisie de sorte que le document complexe DC;k dématérialisé ait l'apparence d'un ticket-restaurant réel, c'est-à-dire sous forme papier. La figure 2 représente de façon schématique une utilisation du ticket-restaurant dématérialisé T;k conforme à l'invention. Sur cette figure, on a représenté un terminal 300; de l'individu I; et un terminal de paiement 200. Dans l'exemple de réalisation décrit ici, le terminal 300; est un téléphone mobile. Il comporte un écran 340. Conformément à l'invention, le terminal 300; est apte à obtenir le ticket-restaurant dématérialisé T;k à partir d'une structure de données qui sera décrite ultérieurement en référence à la figure 4D. Le terminal de paiement 200 est un dispositif tiers au sens de l'invention. Il s'agit par exemple du terminal de paiement d'un restaurant qui accepte les tickets-restaurant dématérialisés du type du ticket-restaurant T;k.

Conformément à l'invention, le terminal 300; comporte des moyens 310 de communication sans fil courte portée pour communiquer avec des moyens 210 correspondants du terminal de paiement 200. Dans le mode de réalisation décrit ici, les moyens 310 du téléphone mobile 300 et 210 du terminal de paiement 200 sont des modules 30 conformes à la norme NFC. Dans le mode de réalisation décrit ici, lorsque l'utilisateur I; du terminal mobile 300; souhaite utiliser un ticket-restaurant, il commande son terminal 300; pour qu'il crée un document complexe DC;k en combinant le ticket dématérialisé T;k avec l'image 352, ce document 35 complexe DC;k étant affiché sur l'écran 340 pour être présenté à l'utilisateur du terminal de paiement 200.

Si l'utilisateur du terminal de paiement 200 accepte le paiement de l'individu Ti, il demande à l'utilisateur Ti d'approcher son téléphone mobile 300; typiquement à quelques centimètres du terminal de paiement 200 de sorte que les moyens de communication sans fil 310 et 210 de ces appareils soient à portée l'un de l'autre. L'identifiant ID_ T;k est alors transmis par le module NFC 310 du téléphone mobile 300; et reçu par le module NFC 210 du terminal de paiement 200. L'image 352 n'est pas transmise.

La figure 3 représente un système conforme à un mode particulier de réalisation de l'invention. Dans le mode de réalisation décrit ici, le terminal 300; est connecté à un réseau mobile MN. Le réseau mobile MN est interconnecté à un réseau Internet IN par une liaison LN. Sur cette figure on a référence O;* la structure de données utilisée par le téléphone mobile 300; pour obtenir le ticket-restaurant T;k. Dans l'exemple de réalisation décrit ici, cette structure de données est sécurisée.

La structure de données sécurisée 0;* est créée par un dispositif émetteur de titres (à savoir un dispositif émetteur de tickets-restaurant dématérialisés) référencé 500. Un exemple de structure de données sécurisées Oi* sera décrit en référence à la figure 4D.

Le dispositif émetteur de titres 500 comporte des moyens de communication aptes à envoyer la structure de données sécurisées 0;* au terminal 300; via le réseau mobile MN. Dans le mode de réalisation décrit ici, le dispositif émetteur de titres 500 comporte aussi des moyens de communication sur le réseau Internet IN. Dans l'exemple de réalisation décrit ici, le processus d'émission de titres est le suivant : En premier lieu, un dispositif client 600 envoie une première commande CM1, via le réseau Internet IN, à destination d'un serveur 100, 35 cette commande étant représentée à la figure 4B.

Typiquement, le dispositif client 600 peut être celui d'une entreprise G qui emploie un certain nombre d'individus I. Le serveur 100 est par exemple un serveur géré par une entreprise d'émission de titres matériels, par exemple une entreprise d'émission de tickets-restaurant sous forme papier. Dans l'exemple de réalisation décrit ici, la première commande CM1 comporte essentiellement un fichier 508, qui dans l'exemple de réalisation décrit ici, comporte trois colonnes 5081 à 5083. Ce fichier 508 est représenté à la figure 3A.

La première colonne 5081 comporte les identifiants des terminaux 300; du système selon l'invention. Par souci de simplification, les identifiants des terminaux 300; sont également référencés 300;. Dans l'exemple de réalisation décrit ici, les terminaux 300; sont des téléphones mobiles et leurs identifiants des numéros MSISDN.

La deuxième colonne 5082 comporte le nombre J de tickets-restaurant devant être émis pour l'individu I. La troisième colonne 5083 comporte la valeur numéraire V des tickets-restaurant devant être émis pour l'individu I. On supposera que cette valeur est la même pour tous les tickets-restaurant dématérialisés d'une ligne du fichier 508. En deuxième lieu, et sur réception de la commande CM1, le serveur 100 émet une commande CM2 vers le dispositif émetteur de titres 500. Cette commande CM2 est représentée à la figure 4C. Dans l'exemple de réalisation décrit ici, cette commande CM2 comporte essentiellement un fichier 509, qui comporte, dans l'exemple de réalisation décrit ici cinq colonnes 5091 à 5095 dans lesquelles : - les trois premières colonnes 5091 à 5093 sont identiques aux trois colonnes 5081 à 5083 du fichier 508 ; - la quatrième colonne 5084 comporte l'identifiant ID_Ti1 du premier ticket-restaurant devant être émis pour l'individu I; utilisateur du terminal 300; ; et - la cinquième colonne 5085 comporte les coordonnées ID_G de la société G employeur de l'individu I. Ce fichier 509 est représenté à la figure 3B.

Dans le mode de réalisation décrit ici, le dispositif émetteur de titres 500 créé la structure de données sécurisée 0;* sur réception de la commande CM2 émise par un serveur 100. Comme déjà décrit en référence à la figure 2, le dispositif de paiement 200 est apte à recevoir l'identifiant ID_T;k d'un ticket-restaurant dématérialisé T;k par ses moyens de communication sans fil courte portée 210 Dans le mode de réalisation décrit ici, le dispositif de paiement 200 comporte des moyens pour envoyer à un centre de collecte, les identifiants de titres ID T;k des tickets-restaurant dématérialisés, dans des données dîtes de déchargement DD. Dans l'exemple de réalisation décrits ici, les centres de collecte sont les serveurs 100, 400 ayant émis les commandes CM2 pour déclencher la création des données sécurisées 0;* par le dispositif émetteur de titres 500. Dans le mode de réalisation décrit ici, le dispositif émet les données de déchargement DD sur le réseau mobile MN. Elles transitent via la liaison LN et via le réseau Internet IN pour atteindre un centre de collecte 100, 400.

La figure 4A représente le dispositif émetteur de titres du système de la figure 3. Dans l'exemple de réalisation décrit ici, le dispositif émetteur de titres 500 à l'architecture matérielle d'un ordinateur. Il comporte notamment un processeur 501, une mémoire vive 502 25 et une mémoire morte 503. La mémoire morte 503 comporte un programme d'ordinateur comportant des instructions aptes à mettre en oeuvre les étapes E10 à E20 de l'organigramme de la figure 7 lorsqu'elles sont exécutées par le processeur 501. 30 Les variables nécessaires à l'exécution de ce programme sont mémorisées au besoin dans la mémoire vive 502. Le dispositif émetteur de titres 500 communique sur le réseau mobile MN par des moyens de télécommunication sans fil 520 et sur le réseau Internet IN par des moyens de télécommunication filaires 504. 35 Dans le mode de réalisation décrit ici, le dispositif émetteur de titres 500 comporte des moyens 506 d'accès à une base de données 507.

Cette base de données 507 comporte un fichier 516 utilisé par le dispositif émetteur de titres 500 pour créer une structure de données O. Dans le mode de réalisation décrit ici, le dispositif émetteur de titres 500 comporte des moyens 510 pour sécuriser la structure de données O;, la structure de données sécurisée ainsi obtenue étant la structure de données sécurisée O;* introduite précédemment en référence à la figure 3. La figure 3C représente le fichier 516 utilisé par le dispositif émetteur de titres 500 pour créer la structure de données 0;. Dans l'exemple de réalisation décrit ici, ce fichier comporte deux colonnes 5161 et 5162. La première colonne 5161 est identique à la première colonne 5081 du fichier 508 ; elle comporte les identifiants des terminaux 300; du système selon l'invention, à savoir, dans l'exemple de réalisation décrit ici, les numéros MSISDN de ces terminaux.

La deuxième colonne 5162 comporte une clef cryptographique K10; utilisée par les moyens 510 de sécurisation du dispositif émetteur de titres 500 pour sécuriser les structures de données envoyées vers le terminal mobile 300;. Dans l'exemple de réalisation décrit ici, le dispositif émetteur de titres 500 créé la structure de données sécurisée O;* sur réception, via le réseau Internet IN, de la commande CM2 émise par le serveur 100 cette commande comportant le fichier 509, déjà décrit en référence à la figure 3B. La figure 4D représente la structure de données sécurisées Oi* créée par le dispositif émetteur de titres 500. Cette structure de données sécurisée est obtenue par les moyens de sécurisation 510 en cryptant, avec la clef cryptographique K10,, une trame comportant : - les coordonnées ID_G de la société G employeur de l'individu Ti ; - l'identifiant ID Ti1 du premier ticket-restaurant devant être émis pour l'individu I; ; - la valeur numéraire V ; et - le nombre J de tickets-restaurant. La figure 5A représente le téléphone mobile 300;.

Dans l'exemple de réalisation décrit ici, le téléphone mobile 300; à l'architecture matérielle d'un ordinateur.

Il comporte notamment un processeur 301, une mémoire vive 302, une mémoire morte 303, un module 304 de communication sur le réseau mobile MN, l'écran 340 déjà décrit et le module NFC 310 déjà décrit. La mémoire morte 303 comporte un programme d'ordinateur comportant des instructions aptes à mettre en oeuvre les étapes G10, G40, G50, G60 de l'organigramme de la figure 7 lorsqu'elles sont exécutées par le processeur 301. Les variables nécessaires à l'exécution de ce programme sont mémorisées au besoin dans la mémoire vive 302.

Dans le mode de réalisation décrit ici, le téléphone mobile 300; comporte une mémoire non volatile réinscriptible mémorisant l'image 352. Le téléphone mobile 300; comporte une carte à microcircuit 320 (carte SIM) qui va maintenant être décrite en référence à la figure 5B. Cette carte à microcircuit comporte un processeur 3201, une mémoire vive 3202 et une application logicielle AP300 apte à mettre en oeuvre les étapes G20, G30 de l'organigramme de la figure 7 lorsqu'elle exécutée par le processeur 3201. Les variables nécessaires à l'exécution de l'application AP300 sont mémorisées au besoin dans la mémoire vive 3202.

La carte à microcircuit 320 comporte une mémoire non volatile réinscriptible 322 comportant : - une clef cryptographique K11; complémentaire de la clef cryptographique (K10i) utilisée par le dispositif émetteur de titres 500 pour sécuriser la structure de données O;*. L'application AP300 utilise la clef cryptographique K11; pour vérifier la validité de la structure de données sécurisées O;* reçue du dispositif émetteur de titres 500 ; - une deuxième clef cryptographique K20 utilisée par l'application AP300 pour sécuriser la communication sans fil courte portée avec le terminal de paiement 200 ; et - une structure de données CONT; permettant, à l'application AP300 de déterminer les identifiants ID_T;k des titres émis par le dispositif 500 émetteur de titres pour le téléphone mobile 300; et non encore utilisés. La figure 6A représente le terminal de paiement 200. Dans l'exemple de réalisation décrit ici, le terminal de paiement 200 35 à l'architecture matérielle d'un ordinateur.

Il comporte notamment un processeur 201, une mémoire vive 202 une mémoire morte 203, un module 204 de communication sur le réseau mobile MN, et le module NFC 210 déjà décrit. La mémoire morte 203 comporte un programme d'ordinateur comportant des instructions aptes à mettre en oeuvre les étapes H10 et H20 de l'organigramme de la figure 7 lorsqu'elles sont exécutées par le processeur 201. Les variables nécessaires à l'exécution de ce programme sont mémorisées au besoin dans la mémoire vive 202.

Dans le mode de réalisation décrit ici, le terminal de paiement 200 comporte une carte à microcircuit 220 qui va maintenant être décrite en référence à la figure 6B. Cette carte à microcircuit comporte un processeur 2201, une mémoire vive 2202 et une application logicielle AP200 apte à mettre en oeuvre les étapes H30 et H40 de l'organigramme de la figure 7 lorsqu'elle exécutée par le processeur 2201. Les variables nécessaires à l'exécution de l'application AP200 sont mémorisées au besoin dans la mémoire vive 2202. La carte à microcircuit 220 comporte une mémoire non volatile 20 réinscriptible 222 comportant : - une clef cryptographique K21 complémentaire de la clef cryptographique K20 utilisée par l'application AP300 du téléphone mobile 300; pour sécuriser la communication sans fil courte portée entre les modules NFC 210, 310 ; 25 - les identifiants ID_T;k de tickets-restaurant T;k reçus par le module NFC 210 suite au paiement d'un repas ; et - une clef cryptographique K30 pour sécuriser l'envoi de données de déchargement DD. La figure 7 représente sous forme d'organigramme, les principales 30 étapes d'un procédé conforme à un mode particulier de réalisation de l'invention. Au cours d'une étape D10, le dispositif client 600 envoie la commande CM1 déjà décrite au serveur 100. Au cours d'une étape E10, le serveur 100 envoie au dispositif 35 émetteur de titres 500 la commande CM2 déjà décrite, comportant des instructions suffisantes que le dispositif émetteur de titres 500 puisse identifier les individus Ti et les caractéristiques de titres T;k à émettre pour ces individus. Cette commande CM2 est reçue par les moyens de communication 504 du dispositif émetteur de titres 500 au cours d'une étape F10.

Dans l'exemple de réalisation décrit ici, le dispositif émetteur de titres 500 crée, pour chaque individu Ti, la structure de données 0; comportant des informations permettant d'obtenir la liste des identifiants des titres émis pour cet individu. Au cours de cette même étape F20, le dispositif émetteur de titre 500 sécurise la structure de données 0; avec la clé cryptographique K10; associée à l'individu obtenue dans le fichier 516. La structure de données sécurisées 0;* est envoyée par le dispositif émetteur de titres 500 au terminal mobile 300; de l'individu I; au cours d'une étape F30.

Cette structure de données sécurisées 0;* est reçue par le terminal mobile 300; au cours d'une étape G10. Au cours d'une étape G20, l'application AP300 du terminal mobile 300; vérifie la validité de la structure de données O;* reçue à l'étape précédente en utilisant la clef K11;. Dans l'exemple de réalisation décrit ici, cette vérification consiste d'une part à authentifier le dispositif 500 émetteur de la structure de données sécurisée 0;* et d'autre part à vérifier l'intégrité de cette structure de données. Lorsque le résultat de cette étape de vérification est positif, le terminal mobile 300; mémorise, dans une mémoire non volatile réinscriptible, des informations CONT; permettant de déterminer les titres émis pour ce terminal mobile, ces informations CONT; étant obtenues à partir de la structure de données sécurisée 0;*. Dans le mode de réalisation décrit ici, les informations CONT; sont constituées par la liste des structures de données sécurisée O;* reçues par le terminal mobile 300; et toute utilisation d'un titre par le terminal mobile 300i nécessite l'emploi de la clef cryptographique K11i. Dans une première variante, la structure de données sécurisée 0;* est décryptée sur réception par le terminal mobile 300; et les informations CONT; sont constituées par la liste des structures de données O.

En variante, les informations CONT; peuvent être constituées par une table dont chaque ligne regroupe les paramètres d'un titre (identifiant, valeur V, coordonnées ID_G de la société émettrice du titre,

Comme nous le verrons ultérieurement, lorsque l'utilisateur du terminal mobile 300; utilise un titre, l'identifiant de ce titre est supprimé 5 des informations CONT;. Dans le mode de réalisation décrit ici, les J titres d'une structure de données sécurisée O;* sont utilisés par le terminal mobile 300; selon l'ordre décroissant de leurs identifiants ID_T;j, et la suppression d'un titre de la liste CONT; consiste à décrémenter la valeur J 10 d'une unité de sorte que cette valeur J, J-1, ..., 1, 0 représente en permanence le nombre de titres non utilisés de la structure de données 0;* et l'indice du prochain titre pouvant être utilisé dans cette structure. Bien entendu, l'utilisation Nous supposerons maintenant que l'utilisateur du terminal mobile 15 300; souhaite utiliser un titre. Dans l'exemple de réalisation décrit ici, il utilise alors, au cours d'une étape G30, l'application AP300 mémorisée dans la carte à microcircuit de son terminal pour lire la valeur J de la structure de données O;* et sélectionner, , les attributs du titre d'identifiant ID T;,, à savoir, dans cet 20 exemple, l'identifiant du titre, les coordonnées de la société émettrice de ce titre et l'identifiant du groupe auquel l'appartient l'utilisateur I. Cette sélection peut par exemple être effectuée en utilisant le clavier ou une souris du terminal mobile 300;. Au cours d'une étape G40, le processeur 301 du terminal mobile 25 300; combine ces informations avec une image 352 pour créer un document complexe. Dans l'exemple de réalisation décrit ici, cette combinaison est effectuée en fonction d'indications stockées dans une structure de données T_AFF mémorisée dans la carte à microcircuit 320 du terminal 30 mobile 300;. La structure de données T_AFF utilisée dans le mode de réalisation décrit ici est représentée à la figure 8. Elle comporte : - une indication IND1 indiquant l'adresse de l'image 352 dans la mémoire non volatile 350 du terminal mobile 300; ; - une indication IND2 du nombre d'attributs (identifiant, valeur V, coordonnées ID_G de la société émettrice du titre, ...) à afficher ; et, pour chacun de ces attributs ; - une indication IND3 spécifiant les modalités d'affichage de cet attribut (police, couleur, position dans l'image 352, ...). Ce document complexe est affiché sur l'écran du terminal 300; au cours d'une étape G50, de sorte qu'il peut être vu par l'utilisateur d'un terminal de paiement 200, par exemple le commerçant ou le restaurateur. Dans le mode de réalisation décrit ici, l'utilisateur Ti utilise un menu de l'interface homme-machine de son terminal 300; pour finaliser la transaction après avoir reçu l'accord du commerçant ou du restaurateur. Cette opération déclenche l'affichage d'un message sur l'écran 340 du terminal 300; qui invite l'utilisateur à approcher son terminal mobile 300; du terminal de paiement 200, et autorise, et l'établissement d'une communication sans fil courte portée entre ces équipements. Au cours d'une étape G60, le terminal mobile 300; envoie alors l'identifiant T;k du titre, la valeur V de ce titre et l'identifiant ID_G, au dispositif de paiement 200 qui répond par un acquittement ACK. Dans l'exemple de réalisation décrit ici, cette communication est sécurisée par les clefs K20 du terminal mobile 300; et K30 du dispositif de paiement 200. L'application AP300 du terminal mobile 300; peut alors, au cours d'une étape G70, mettre à jour les informations CONT; pour refléter le fait que le titre T;k a été utilisé. Dans l'exemple de réalisation décrit ici, cela revient à décrémenter la valeur J de la structure de données O;* d'une unité. Lorsque la valeur J atteint 0, la structure de données sécurisée 0;* peut être supprimée de la structure CONT;. L'étape H10 de réception du titre Tik par le dispositif de paiement 200 est suivie par une étape H20 au cours de laquelle ce dispositif stocke l'identifiant T;k dans une mémoire non volatile réinscriptible 222 de ce dispositif. Nous supposerons ensuite que l'utilisateur du dispositif de paiement 200 souhaite décharger les identifiants des titres mémorisés dans sa mémoire non volatile réinscriptible 222.

Dans l'exemple de réalisation décrit ici, le dispositif de paiement 200 envoie, au cours d'une étape H30, des données de déchargement DD comportant ces identifiants au serveur 100, cet envoi étant sécurisé par la clef cryptographique K30. Les données de déchargement DD sont reçues par le serveur 100 au cours d'une étape E20.

L'application AP200 du dispositif de paiement 200 peut alors, au cours d'une étape H40, effacer les identifiants des titres déchargés de sa mémoire non volatile réinscriptible 222.

Claims

REVENDICATIONS1. Procédé de gestion des titres d'une pluralité d'individus appartenant à un même groupe comportant : - une étape d'obtention d'un au moins un attribut (IDT1, ..., IDTj) d'au moins un titre (Ti1, ...Ti,) pour chaque individu (I;) dudit groupe ; - une étape de création, pour chaque individu (Ii) dudit groupe, d'une structure de données (0;) comportant des informations (IDT1i J) permettant d'obtenir les attributs (ID Ti1, ..., ID Ti3) des titres émis pour cet individu (Ii) ; - une étape pour mettre chacune desdites structures de données (O;) à disposition d'un terminal (300;) de l'individu (I;) pour qui ladite structure (Oi) de données a été créée ; une étape d'obtention, par ledit terminal (300;), d'au moins un titre (Tik) 15 comportant un attribut (ID T;k) obtenu à partir de ladite structure de données (O;) reçue par ce terminal (300;); une étape d'envoi dudit titre (Tk) par des moyens de communication sans fil courte portée (310) dudit terminal (300;), à un dispositif tiers (200); et 2une étape de vérification de la validité dudit titre (T;k) par ledit dispositif tiers (200).
2. Système de gestion des titres d'une pluralité d'individus appartenant à un même groupe comportant : 25 - un dispositif émetteur de titres (500) comportant : - des moyens (506, 509) d'obtention d'au moins un attribut (IDT1i ..., ID T;3) d'au moins un titre (Tu) pour chaque individu (I;) dudit groupe ; - des moyens (501) de création, pour chaque individu (I;) dudit 30 groupe, d'une structure de données (0;) comportant des informations (ID T;1, J) permettant d'obtenir les attributs (IDT1, ..., IDTj) des titres émis pour cet individu (Ii) ; et - des moyens (520) pour mettre chacune desdites structures de données (0;) à disposition d'un terminal (300;) de l'individu (I;) pour 35 qui ladite structure de données a été créée ; - ledit terminal (300;), celui-ci comportant :- des moyens (AP300) d'obtention d'au moins un titre (Tik) comportant un attribut (ID Tik) obtenu à partir de ladite structure de données (Oi) ; et - des moyens (310) de communication sans fil courte portée (320) aptes à envoyer ledit titre (Tik) à un dispositif tiers (200) comportant des moyens (230, K30) de vérification de la validité dudit titre (Tik) ; et - ledit dispositif tiers (200).
3. Système selon la revendication 2, caractérisé en ce que : - ledit dispositif émetteur de titres (500) comporte des moyens (510) de sécurisation d'au moins une structure de données (0;) avec une première clef cryptographique (K10;) associée à l'individu (Ii) pour qui ladite structure de données (Oi) a été créée ; et en ce que - lesdits moyens d'envoi (520) du dispositif émetteur de titres envoient chacune des structures de données sécurisées (0;*).
4. Système selon la revendication 3, caractérisé en ce que ledit terminal (300;) ou ledit dispositif tiers (200) comporte des moyens de vérification de ladite structure de données sécurisées (0;*), ces moyens utilisant une clef cryptographique (K11;) complémentaire de ladite première clef cryptographique (K10;).
5. Système selon l'une quelconque des revendications 2 à 4, caractérisé en ce que un desdits attributs d'un titre (Tik) est un identifiant (ID_ Tik) de ce titre.
6. Système selon la revendication 5, caractérisé en ce que ledit identifiant (Id T;k) d'un titre (Tik) identifie ledit titre (Tik) de façon unique.
7. Système selon l'une quelconque des revendications 5 ou 6, caractérisé en ce que ledit identifiant (Id Tik) d'un titre (T;k) identifie ledit groupe.30
8. Système selon l'une quelconque des revendications 2 à 7, caractérisé en ce que les moyens sans fil courte portée (310) sont conformes à la norme NFC.
9. Système selon l'une quelconque des revendications 2 à 8, caractérisé en ce que : - ledit terminal (300;) comporte des moyens (AP300) de sécurisation de la communication sans fil courte portée avec une deuxième clef cryptographique (K20); et en ce que - ledit dispositif tiers (200) utilise une clef cryptographique (K21) complémentaire de ladite deuxième clef (K20) pour vérifier la validité dudit titre (Tik).
10. Système selon l'une quelconque des revendications 2 à 9, caractérisé en ce que ledit terminal (300;) comporte des moyens de mémorisation d'informations (CONT;) représentatives d'au moins une partie du contenu de ladite structure de données (Oi) dans une mémoire non volatile (322), lesdits moyens (AP300) de création d'un titre (Tik) étant aptes à accéder à ladite mémoire non volatile (322) pour créer au moins un titre (Tik).
11. Système selon l'une quelconque des revendications 2 à 10, caractérisé en ce que au moins un desdits terminaux (300;) est une entité électronique portable.
12. Système selon les revendications 10 et 11, caractérisé en ce que ladite mémoire non volatile (322) est comprise dans une carte à microcircuit (320) de ladite entité électronique portable 30
13. Système selon la revendication 9, caractérisé en ce que lesdits moyens (AP300) de sécurisation de la communication sans fil courte portée sont compris dans une carte à microcircuit (320) de ladite entité électronique portable (300;).25
14. Système selon l'une quelconque des revendications 11 à 13, caractérisé en ce que ledit au moins un terminal (300;) est un téléphone mobile.
15. Système selon l'une quelconque des revendications 2 à 14, caractérisé en ce que lesdits moyens d'envoi (520) du dispositif émetteur de titres (500) utilisent un réseau de téléphonie mobile (MN).
16. Système selon l'une quelconque des revendications 2 à 15, caractérisé en ce qu'il comporte au moins une entité (100, 400) apte à commander l'émission desdits titres (Tik) auprès dudit dispositif émetteur de titres (500) par l'envoi d'une commande (CM2) comportant des informations (ID_G) suffisantes pour que ledit dispositif émetteur de titres (500) puisse identifier lesdits individus (Ii) et les caractéristiques des titres (Tik) à émettre pour ces individus.
17. Système selon, la revendication 16, caractérisé en ce que ladite entité envoie ladite commande (CM2) sur réception d'une commande (CM1) émise par un dispositif client (600).
18. Système selon l'une quelconque des revendications 2 à 17, caractérisé en ce que ledit dispositif tiers (200) comporte : - des moyens (AP200) pour mémoriser, dans une mémoire non volatile (222), les attributs (ID Tik) des titres (Tik) reçus desdits terminaux (300;) ; - des moyens (204) pour envoyer, à une unité de collecte (100, 400), des données de déchargement (DD) représentant au moins un desdits attributs (IDTk); et - des moyens (AP200) pour supprimer ledit au moins un attribut de cette mémoire non volatile (222).
19. Système selon la revendication 18, caractérisé en ce que ledit dispositif tiers (200) comporte des moyens (AP200) pour sécuriser l'envoi desdites données de déchargement (DD) avec une troisième clef cryptographique (K30), ladite unité de collecte (100, 400) comportant des moyens pour vérifier la validité desdites données de déchargement (DD), 25 ces moyens utilisant une clef (K31) complémentaire de ladite troisième clef cryptographique (K30).
20. Système selon l'une quelconque des revendications 10 à 19, 5 caractérisé en ce que ledit terminal (300i) comporte : des moyens pour combiner une image (352) mémorisée dans une deuxième mémoire non volatile (350) dudit terminal (300;) avec ledit au moins un titre (Tik) dans un document complexe (DCik) ; et des moyens pour afficher ledit document complexe (DCik) sur un écran 10 (340) dudit terminal (300;).
21. Système selon la revendication 20 comportant des moyens (330) de sélection de ladite image (352) dans ladite deuxième mémoire (350), en fonction dudit titre (Tik).
22. Système selon l'une quelconque des revendications 2 à 21, caractérisé en ce que au moins un desdits titres (T1;) est un ticket-restaurant. 15