FR2993424A1

FR2993424A1 - Method for supplying identification data of user that is to be applied to smart phone, involves supplying identification data to service platform for user identification via mobile telecommunication network by secure element

Info

Publication number: FR2993424A1
Application number: FR1256868A
Authority: FR
Inventors: Naama Bak
Original assignee: France Telecom SA
Current assignee: Orange SA
Priority date: 2012-07-16
Filing date: 2012-07-16
Publication date: 2014-01-17

Abstract

The method involves obtaining an identification data (DI1) stored on an electronic identification medium (5) that is provided with a communication module in close field. The identification data is transmitted by the communication module that is in close field to a terminal (6) such as smart phone. The data is transmitted with a secure element (SIM-6) via a physical interface. The identification data is supplied to a service platform (3) for user identification (U) via a mobile telecommunication network (NW) by the secure element. Independent claims are also included for the following: (1) a computer program comprising instructions for performing a method for supplying identification data (2) a computer readable recording medium with instructions for performing the method for supplying identification data (3) a terminal (4) a service platform (5) a user identification system.

Description

Arrière-plan de l'invention L'invention se rapporte au domaine général des télécommunications. Elle concerne plus particulièrement l'identification d'un utilisateur dans le cadre, par exemple, d'une transaction électronique réalisée à distance. Par transaction électronique, on entend ici tout accord entre au moins deux parties, réalisé via un réseau de télécommunications, tel que le réseau Internet, un réseau informatique local, ou encore un réseau de télécommunications mobile. Les transactions électroniques à distance sont de plus en plus répandues, notamment dans les domaines du commerce électronique (ex. pour l'achat d'articles), de la banque (ex. pour un transfert d'argent) ou encore des services de télécommunications (ex. pour la souscription à des services). Ces transactions font souvent appel à des moyens de paiement à distance. Or, on assiste aujourd'hui à une recrudescence des utilisations frauduleuses de ces moyens de paiement et notamment des moyens de paiement basés sur l'utilisation d'une carte bancaire (ex. usurpation d'identité). Pour limiter ces fraudes, des solutions de sécurisation des transactions par carte bancaire ont été mises en place par les sites marchands et les banques. Visa et Mastercard ont ainsi développé un protocole sécurisé de paiement sur Internet, baptisé 3D-Secure, permettant de limiter les risques de fraudes sur Internet liés aux tentatives d'usurpation d'identité.BACKGROUND OF THE INVENTION The invention relates to the general field of telecommunications. It relates more particularly to the identification of a user in the context, for example, of an electronic transaction carried out remotely. By electronic transaction is meant here any agreement between at least two parties, made via a telecommunications network, such as the Internet, a local computer network, or a mobile telecommunications network. Electronic remote transactions are becoming more and more common, especially in the areas of e-commerce (eg for the purchase of goods), banking (eg for money transfer) or telecommunications services. (eg for subscription to services). These transactions often use remote payment methods. However, we are witnessing today an upsurge of fraudulent uses of these means of payment and in particular the means of payment based on the use of a bank card (eg identity theft). To limit these frauds, security solutions for credit card transactions have been put in place by merchant sites and banks. Visa and Mastercard have developed a secure payment protocol on the Internet, called 3D-Secure, to limit the risk of fraud on the Internet related to attempts to impersonate.

Ce protocole vise plus particulièrement à s'assurer, lors d'un paiement en ligne à l'aide d'une carte bancaire, que celle-ci est bien utilisée par son titulaire. A cette fin, lors du paiement, en plus du numéro de la carte bancaire, de sa date d'expiration et des trois chiffres du code de sécurité imprimés au dos de la carte bancaire, on demande à l'utilisateur de saisir un mot de passe. Ce mot de passe peut être statique (il peut s'agir par exemple de la date de naissance de l'utilisateur) pour une identification « simple » de l'utilisateur, ou au contraire être généré dynamiquement et transmis à l'utilisateur via email ou via SMS sur son terminal mobile, pour une identification « forte » de l'utilisateur. Un tel mot de passe généré dynamiquement est également connu sous le nom de code OTP (One Time Password en anglais). Toutefois, cette solution, qu'elle soit basée sur l'utilisation d'un mot de passe statique ou dynamique, présente des failles. En effet, avec l'avènement des réseaux sociaux, la date de naissance de l'utilisateur ne constitue plus en soi une donnée secrète et peut être aisément usurpée. Par ailleurs, on assiste aujourd'hui au développement de logiciels malveillants (ou malware en anglais) agissant au niveau applicatif, permettant de récupérer le SMS envoyé à l'utilisateur, et donc le mot de passe contenu dans ce SMS. De tels logiciels peuvent être facilement installés sur le terminal mobile de l'utilisateur à son insu. Il existe donc un besoin d'un mécanisme permettant d'identifier de manière sûre le porteur d'un moyen de paiement à distance et ne présentant pas les inconvénients précités.This protocol aims more particularly to ensure, during an online payment using a bank card, that it is used by its holder. To this end, during the payment, in addition to the number of the credit card, its expiry date and the three digits of the security code printed on the back of the credit card, the user is asked to enter a password. past. This password can be static (it can be for example the date of birth of the user) for a "simple" identification of the user, or on the contrary to be generated dynamically and transmitted to the user via email or via SMS on his mobile terminal, for a "strong" identification of the user. Such a dynamically generated password is also known as OTP (One Time Password). However, this solution, whether based on the use of a static or dynamic password, has flaws. Indeed, with the advent of social networks, the date of birth of the user is no longer in itself a secret and can be easily usurped. Moreover, today we are witnessing the development of malicious software (or malware in English) acting at the application level, to retrieve the SMS sent to the user, and therefore the password contained in this SMS. Such software can be easily installed on the mobile terminal of the user without his knowledge. There is therefore a need for a mechanism for securely identifying the holder of a means of remote payment and not having the aforementioned drawbacks.

Objet et résumé de l'invention L'invention répond notamment à ce besoin en proposant un procédé de fourniture, à une plateforme de services, de données d'identification d'un utilisateur, destiné à être mis en oeuvre par un terminal apte à communiquer sur un réseau de télécommunications mobile, ce terminal étant muni d'un module de communication en champ proche et d'un élément sécurisé reliés via une interface physique, le procédé comprenant : une étape d'obtention, par le module de communication en champ proche du terminal, de données d'identification de l'utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche ; - une étape de transmission, par le module de communication en champ proche du terminal, des données d'identification obtenues à l'élément sécurisé du terminal, via l'interface physique ; et - une étape de fourniture, par l'élément sécurisé du terminal, via le réseau de télécommunications mobile, des données d'identification à la plateforme de services pour identification de l'utilisateur. L'invention vise également un procédé d'identification d'un utilisateur par une plateforme de services comprenant : une étape de réception de première données d'identification d'un utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche, ces premières données étant fournies à la plateforme de services par un terminal via un réseau de télécommunications mobile conformément à un procédé de fourniture selon l'invention ; une étape de comparaison des premières données d'identification avec des secondes données d'identification ; et en fonction du résultat de l'étape de comparaison, une étape d'identification de l'utilisateur. L'invention vise aussi un procédé d'identification d'un utilisateur par un terminal apte à communiquer sur un réseau de télécommunications mobile, comprenant : une étape d'obtention, par un module de communication en champ proche équipant le terminal, de premières données d'identification de l'utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche ; une étape de transmission, par le module de communication en champ proche du terminal, des premières données d'identification obtenues à un élément sécurisé du terminal, via une interface physique reliant le module de communication en champ proche et l'élément sécurisé du terminal ; une étape de comparaison, par l'élément sécurisé, des premières données d'identification avec des secondes données d'identification obtenues d'une plateforme de services via le réseau de télécommunications mobile ; et - en fonction du résultat de l'étape de comparaison, une étape d'identification de l'utilisateur.OBJECT AND SUMMARY OF THE INVENTION The invention responds in particular to this need by proposing a method of providing, to a service platform, identification data of a user, intended to be implemented by a terminal capable of communicating. on a mobile telecommunications network, this terminal being provided with a near-field communication module and a secure element connected via a physical interface, the method comprising: a step of obtaining, by the near-field communication module, terminal, user identification data stored on an electronic identification medium provided with a near field communication module; a step of transmission, by the near field communication module of the terminal, of the identification data obtained to the secure element of the terminal, via the physical interface; and a step of providing, by the secure element of the terminal, via the mobile telecommunications network, identification data to the service platform for identification of the user. The invention also relates to a method for identifying a user by a service platform comprising: a step of receiving first user identification data stored on an electronic identification medium provided with a communication module in the near field, these first data being supplied to the service platform by a terminal via a mobile telecommunications network in accordance with a method of provision according to the invention; a step of comparing the first identification data with second identification data; and depending on the result of the comparing step, a step of identifying the user. The invention also relates to a method of identifying a user by a terminal able to communicate on a mobile telecommunications network, comprising: a step of obtaining, by a near-field communication module equipping the terminal, first data identification of the user stored on an electronic identification medium provided with a near-field communication module; a step of transmission, by the near-field communication module of the terminal, of the first identification data obtained to a secure element of the terminal, via a physical interface connecting the near-field communication module and the secure element of the terminal; a step of comparing, by the secure element, first identification data with second identification data obtained from a service platform via the mobile telecommunications network; and - depending on the result of the comparison step, a step of identifying the user.

Préférentiellement, les secondes données d'identification proviennent d'une autorité de confiance. Il s'agit donc de données d'identification fiables et dont la véracité est reconnue. L'invention propose donc une identification d'un utilisateur faisant intervenir un système tripartite regroupant : un support d'identification électronique de l'utilisateur, telle une carte d'identité électronique ou un passeport électronique, muni de moyens de communication en champ proche ; un terminal mobile, muni d'un élément sécurisé, tel une carte d'identité d'abonné (ex. carte SIM (Subscriber Identity Module) ou USIM (Universal Subscriber Identity Module)) permettant au terminal de communiquer sur le réseau de télécommunications mobile auprès duquel il est abonné, et de moyens de communication en champ proche pour communiquer avec le support d'identification électronique, ces moyens étant reliés à l'élément sécurisé par une interface physique ; et une plateforme de services, associée à la transaction électronique pour laquelle l'identification de l'utilisateur est requise, qui permet de mener à bien l'identification de l'utilisateur afin de finaliser la transaction et avec laquelle le terminal mobile échange des données d'identification (premières ou secondes données d'identification au sens de l'invention), via le réseau de télécommunications mobile auprès duquel il est un abonné. Le réseau de télécommunications mobile est par exemple un réseau mobile GSM (Global System Mobile), UMTS (Universal Mobile Telecommunications System), LTE (Long-Term Evolution), etc. L'identification à proprement parler de l'utilisateur peut être réalisée par l'élément sécurisé du terminal mobile ou par la plateforme de services. Pour identifier un utilisateur, l'invention s'appuie avantageusement sur trois points essentiels faisant intervenir les différentes entités de ce système tripartite, à savoir : l'utilisation du support d'identification électronique pour fournir des données d'identification fiables de l'utilisateur (i.e. certifiées par l'autorité de confiance qui a délivré ce support (ex. l'Etat pour une carte d'identité ou un passeport électronique)), et son placement conformément à l'invention, à proximité du terminal mobile de l'utilisateur, de manière à lui transmettre, par l'intermédiaire d'une communication en champ proche, les données d'identification qu'il contient ; le transfert des données d'identification reçues par le module de communication en champ proche du terminal mobile à un élément sécurisé de ce terminal, tel que sa carte d'identité d'abonné, via une interface physique ; et l'utilisation du réseau de télécommunications du terminal mobile, pour transmettre de manière sécurisée ces données d'identification vers la plateforme de services pour identification de l'utilisateur, ou de façon alternative, pour recevoir de manière sécurisée des données d'identification de la plateforme de service provenant préférentiellement d'une autorité de confiance, qui seront ensuite confrontées aux données d'identification obtenues du support électronique pour identification de l'utilisateur par le terminal. Il est en effet connu que les réseaux de télécommunications mobiles mettent en oeuvre, de façon générale, des procédures de sécurisation fortes afin de protéger les données échangées sur ces réseaux. La combinaison de ces trois points conformément à l'invention permet d'avoir une identification forte et sûre de l'utilisateur, et de limiter ainsi les fraudes liées à l'usurpation de l'identité de l'utilisateur lors de transactions électroniques. En effet : le recours à des communications en champ proche entre le support d'identification électronique de l'utilisateur et son terminal mobile permet de s'assurer de la présence physique du support d'identification électronique à proximité du terminal mobile de l'utilisateur : grâce à cette proximité, on limite le risque d'interception par un tiers des données d'identification de l'utilisateur à son insu ; l'utilisation d'une interface physique entre le module de communication en champ proche et l'élément sécurisé du terminal, par opposition à une interface logicielle ou protocolaire, permet d'éviter que les données d'identification de l'utilisateur remontent au niveau applicatif et puissent être interceptées par l'intermédiaire d'un logiciel malveillant installé sur le terminal mobile (les données d'identification sont transférées conformément à l'invention au niveau de la couche physique) ; enfin, le recours à un réseau de télécommunications (en l'occurrence, le réseau mobile du terminal), pour les échanges entre le terminal et la plateforme de services des données permettant l'identification de l'utilisateur, permet de bénéficier de mesures de sécurité inhérentes au réseau de télécommunications (ex. chiffrement des données sur la voie radio, authentification réseau de la carte d'identité d'abonné utilisée par le terminal pour se connecter au réseau, etc.) et d'assurer ainsi la protection et l'intégrité des données d'identification échangées entre le terminal et la plateforme de services Dans un mode privilégié de réalisation de l'invention, l'élément sécurisé du terminal est une carte d'identité d'abonné permettant au terminal de communiquer sur le réseau de télécommunications, telle une carte SIM ou USIM. Une telle carte fournit, de façon connue en soi, un environnement de stockage et d'exécution sécurisé, et est déjà présente dans le terminal mobile, puisqu'elle est requise pour lui permettre de communiquer sur le réseau de télécommunications mobile. L'utilisation de la carte d'identité d'abonné associée au réseau de télécommunications mobile comme élément sécurisé permet donc de limiter les coûts liés à l'implémentation de l'invention, ainsi que les transformations nécessaires à apporter au terminal mobile pour permettre l'identification du terminal conformément à l'invention.Preferably, the second identification data come from a trusted authority. It is therefore reliable identification data whose veracity is recognized. The invention therefore proposes an identification of a user involving a tripartite system comprising: an electronic identification support of the user, such as an electronic identity card or an electronic passport, provided with means of communication in the near field; a mobile terminal, provided with a secure element, such as a subscriber identity card (eg Subscriber Identity Module (SIM) card or Universal Subscriber Identity Module (USIM)) enabling the terminal to communicate on the mobile telecommunications network to which it is subscribed, and means of communication in the near field to communicate with the electronic identification medium, these means being connected to the secure element by a physical interface; and a service platform, associated with the electronic transaction for which user identification is required, which enables completion of the user identification in order to finalize the transaction and with which the mobile terminal exchanges data. identification (first or second identification data in the sense of the invention), via the mobile telecommunications network with which it is a subscriber. The mobile telecommunications network is for example a GSM mobile network (Global Mobile System), UMTS (Universal Mobile Telecommunications System), LTE (Long-Term Evolution), etc. The actual identification of the user can be performed by the secure element of the mobile terminal or by the service platform. To identify a user, the invention advantageously relies on three essential points involving the different entities of this tripartite system, namely: the use of the electronic identification medium to provide reliable identification data of the user (ie certified by the trusted authority that issued this medium (eg the State for an identity card or electronic passport)), and its placement according to the invention, close to the mobile terminal of the user, so as to transmit to him, through a communication in the near field, the identification data it contains; transferring the identification data received by the communication module in the near field of the mobile terminal to a secure element of this terminal, such as its subscriber identity card, via a physical interface; and using the mobile terminal telecommunications network to securely transmit these identification data to the service platform for user identification, or alternatively, to securely receive identification data of the user. the service platform preferably from a trusted authority, who will then be confronted with the identification data obtained from the electronic medium for identification of the user by the terminal. It is indeed known that mobile telecommunications networks generally implement strong security procedures in order to protect the data exchanged on these networks. The combination of these three points in accordance with the invention makes it possible to have a strong and secure identification of the user, and thus to limit frauds linked to the usurpation of the user's identity during electronic transactions. Indeed: the use of near-field communications between the user's electronic identification medium and his mobile terminal makes it possible to ensure the physical presence of the electronic identification medium near the mobile terminal of the user : thanks to this proximity, it limits the risk of interception by a third party of the identification data of the user without his knowledge; the use of a physical interface between the near-field communication module and the secure element of the terminal, as opposed to a software or protocol interface, makes it possible to prevent the user's identification data from being raised to the level application and can be intercepted via malicious software installed on the mobile terminal (the identification data is transferred according to the invention at the level of the physical layer); lastly, the use of a telecommunications network (in this case, the mobile network of the terminal), for the exchanges between the terminal and the data services platform enabling the identification of the user, makes it possible to benefit from telecommunications network (eg encryption of data on the radio channel, network authentication of the subscriber identity card used by the terminal to connect to the network, etc.) and thereby ensure the protection and integrity of the identification data exchanged between the terminal and the service platform In a preferred embodiment of the invention, the secure element of the terminal is a subscriber identity card allowing the terminal to communicate on the network telecommunications, such as a SIM or USIM card. Such a card provides, in a manner known per se, a secure storage and execution environment, and is already present in the mobile terminal, since it is required to enable it to communicate on the mobile telecommunications network. The use of the subscriber identity card associated with the mobile telecommunications network as a secure element thus makes it possible to limit the costs associated with the implementation of the invention, as well as the necessary transformations to be made to the mobile terminal to enable the mobile phone to be used. identification of the terminal according to the invention.

Dans un mode particulier de réalisation, l'interface physique entre l'élément sécurisé et le module de communication en champ proche du terminal est une interface SWP (Single Wire Protocol).In a particular embodiment, the physical interface between the secure element and the near-field communication module of the terminal is a SWP (Single Wire Protocol) interface.

De cette sorte, la mise en oeuvre de l'invention est encore simplifiée puisqu'elle utilise une interface existante et mature, qui présente en outre l'avantage de n'utiliser qu'un seul contact sur la carte d'identité d'abonné. En variante d'autres interfaces physiques peuvent être envisagées, comme par exemple une interface physique I2C (Inter-Integrated Circuit) ou une interface physique SPI (Serial Peripheral Interface), connues de l'homme du métier. Dans un mode particulier de réalisation de l'invention, le procédé d'identification de l'utilisateur par le terminal comprend en outre une étape de fourniture du résultat de l'étape d'identification de l'utilisateur à la plateforme de services.In this way, the implementation of the invention is further simplified since it uses an existing and mature interface, which also has the advantage of using only one contact on the subscriber identity card. . As a variant, other physical interfaces may be envisaged, such as for example an I2C (Inter-Integrated Circuit) physical interface or a Serial Peripheral Interface (SPI) physical interface, known to those skilled in the art. In a particular embodiment of the invention, the method of identifying the user by the terminal further comprises a step of providing the result of the step of identifying the user to the service platform.

Lorsqu'une entité tiers (telle une passerelle de paiement par exemple) est à l'origine ou est en attente de l'identification de l'utilisateur, la plateforme de services peut ainsi fournir une preuve d'identification de l'utilisateur à cette entité tiers. Au sens de l'invention, une preuve d'identification désigne indifféremment tout moyen attestant qu'une procédure d'identification de l'utilisateur a été menée, et ce, indépendamment de son résultat (autrement dit, que les premières et les secondes données d'identification coïncident ou non), ou tout moyen attestant que l'utilisateur a été positivement identifié (autrement dit, un moyen émis uniquement lorsque les premières et les secondes données d'identification coïncident). Ce mode de réalisation permet alors à la plateforme de services ou à l'entité tiers en liaison avec la plateforme de services d'accepter ou de refuser la transaction électronique en fonction du résultat de l'identification de l'utilisateur. De façon similaire, dans un mode particulier de réalisation de l'invention, le procédé d'identification de l'utilisateur par la plateforme de services comprend en outre une étape de fourniture d'une preuve d'identification de l'utilisateur à une entité tiers. L'identifiant de l'utilisateur sur le réseau de télécommunications mobile (typiquement le numéro de téléphone associé à l'élément de sécurité du terminal mobile) permet ainsi à la plateforme d'une part de communiquer avec le terminal mobile de l'utilisateur, et d'autre part d'interroger l'autorité de confiance. Dans un mode particulier de réalisation, les différentes étapes du procédé de fourniture et/ou les différentes étapes des procédés d'identification selon l'invention sont déterminées par des instructions de programmes d'ordinateurs. En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans un terminal mobile ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé de fourniture ou d'un procédé d'identification par un terminal tel que décrit ci-dessus. L'invention vise également un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en oeuvre dans une plateforme de services ou plus généralement dans un ordinateur, ce programme comportant des instructions adaptées à la mise en oeuvre des étapes d'un procédé d'identification par une plateforme de services tel que décrit ci-dessus. Ces programmes peuvent utiliser n'importe quel langage de programmation, et être sous la forme de codes source, codes objet, ou de codes intermédiaires entre codes source et codes objet, tels que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable. L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microélectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy disc) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question.When a third party entity (such as a payment gateway for example) is causing or is waiting for the user's identification, the service platform can thus provide proof of identification of the user to that user. third party entity. For the purposes of the invention, an identification proof means any means attesting that a user identification procedure has been conducted, regardless of its result (in other words, the first and second data identifying or not coinciding), or any means that the user has been positively identified (that is, means issued only when the first and second identification data coincide). This embodiment then allows the service platform or the third party entity in connection with the service platform to accept or reject the electronic transaction based on the result of the identification of the user. Similarly, in a particular embodiment of the invention, the method of identifying the user by the service platform further comprises a step of providing a user identification proof to an entity third. The identifier of the user on the mobile telecommunications network (typically the telephone number associated with the security element of the mobile terminal) thus enables the platform to communicate with the mobile terminal of the user, and on the other hand to question the authority of trust. In a particular embodiment, the various steps of the method of providing and / or the different steps of the identification methods according to the invention are determined by instructions of computer programs. Consequently, the invention also relates to a computer program on an information medium, this program being capable of being implemented in a mobile terminal or more generally in a computer, this program comprising instructions adapted to the setting implement steps of a method of providing or a method of identification by a terminal as described above. The invention also relates to a computer program on an information medium, this program being capable of being implemented in a service platform or more generally in a computer, this program comprising instructions adapted to the implementation steps of a method of identification by a service platform as described above. These programs can use any programming language, and be in the form of source codes, object codes, or intermediate codes between source codes and object codes, such as in a partially compiled form, or in any other desirable shape. The invention also relates to a computer-readable information medium, comprising instructions of a computer program as mentioned above. The information carrier may be any entity or device capable of storing the program. For example, the medium may comprise storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or a magnetic recording medium, for example a diskette (floppy disc) or a disk hard. On the other hand, the information medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means. The program according to the invention can be downloaded in particular on an Internet type network. Alternatively, the information carrier may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the method in question.

Corrélativement, l'invention vise également chaque élément du système tripartite permettant l'identification d'un utilisateur. Ainsi, l'invention vise aussi un terminal apte à communiquer sur un réseau de télécommunications mobile et comprenant : - un module de communication en champ proche ; - un élément sécurisé ; et - une interface physique reliant le module de communication en champ proche et l'élément sécurisé ; et dans lequel : le module de communication en champ proche du terminal est configuré de sorte à obtenir des premières données d'identification d'un utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche, et à transmettre ces premières données d'identification obtenues à l'élément sécurisé via l'interface physique ; et l'élément sécurisé du terminal est configuré de sorte à comparer les premières données d'identification avec des secondes données d'identification obtenues d'une plateforme de services via le réseau de télécommunications mobile, et en fonction du résultat de cette comparaison, à identifier l'utilisateur. L'invention vise aussi un terminal apte à communiquer sur un réseau de télécommunications mobile et comprenant : - un module de communication en champ proche ; - un élément sécurisé ; et - une interface physique reliant le module de communication en champ proche et l'élément sécurisé ; et dans lequel : le module de communication en champ proche du terminal est configuré de sorte à obtenir des données d'identification d'un utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche, et à transmettre les données d'identification obtenues à l'élément sécurisé via l'interface physique ; et l'élément sécurisé du terminal est configuré de sorte à fournir, via le réseau de télécommunications mobile, les données d'identification à une plateforme de services pour identification de l'utilisateur. L'invention vise en outre une plateforme de services comprenant : des moyens de réception de première données d'identification d'un utilisateur stockées sur un support d'identification électronique muni d'un module de communication en champ proche, ces premières données d'identification étant fournies à la plateforme de services, via un réseau de télécommunications mobile, par un terminal selon l'invention ; des moyens de comparaison des premières données d'identification avec des secondes données d'identification ; et des moyens d'identification de l'utilisateur activés en fonction du résultat de la comparaison réalisée par les moyens de comparaison. Par ailleurs, l'invention vise un système d'identification d'un utilisateur comprenant : une plateforme de services ; un support d'identification de l'utilisateur muni d'un module de communication en champ proche, et sur lequel sont stockées des premières données d'identification de l'utilisateur ; un terminal apte à communiquer sur un réseau de télécommunications mobile et conforme à l'invention. Dans un mode particulier de réalisation, la plateforme de services du système d'identification est conforme à l'invention.Correlatively, the invention also aims at each element of the tripartite system for identifying a user. Thus, the invention also provides a terminal capable of communicating over a mobile telecommunications network and comprising: a near-field communication module; - a secure element; and a physical interface connecting the near-field communication module and the secure element; and wherein: the near field communication module of the terminal is configured to obtain first user identification data stored on an electronic identification medium provided with a near field communication module, and transmit these first identification data obtained to the secure element via the physical interface; and the secure element of the terminal is configured to compare the first identification data with second identification data obtained from a service platform via the mobile telecommunications network, and depending on the result of this comparison, to identify the user. The invention also relates to a terminal capable of communicating over a mobile telecommunications network and comprising: a near-field communication module; - a secure element; and a physical interface connecting the near-field communication module and the secure element; and wherein: the near field communication module of the terminal is configured to obtain user identification data stored on an electronic identification medium provided with a near field communication module, and to transmit the identification data obtained at the secure element via the physical interface; and the secure element of the terminal is configured to provide, via the mobile telecommunications network, the identification data to a service platform for identification of the user. The invention also provides a service platform comprising: means for receiving first user identification data stored on an electronic identification medium provided with a near-field communication module, these first data of identification being provided to the service platform, via a mobile telecommunications network, by a terminal according to the invention; means for comparing the first identification data with second identification data; and user identification means activated according to the result of the comparison performed by the comparison means. Furthermore, the invention aims at a system for identifying a user comprising: a service platform; a user identification medium provided with a near-field communication module, and on which are stored first identification data of the user; a terminal capable of communicating over a mobile telecommunications network and according to the invention. In a particular embodiment, the service platform of the identification system is in accordance with the invention.

La plateforme de services, les terminaux et le système d'identification selon l'invention bénéficient des mêmes avantages que les procédés de fourniture et d'identification décrits précédemment. On peut également envisager, dans d'autres modes de réalisation, que le procédé de fourniture, les procédés d'identification, les terminaux, la plateforme de service et le système d'identification selon l'invention présentent en combinaison tout ou partie des caractéristiques précitées.The service platform, the terminals and the identification system according to the invention have the same advantages as the supply and identification methods described above. It can also be envisaged, in other embodiments, that the supply method, the identification methods, the terminals, the service platform and the identification system according to the invention present in combination all or some of the characteristics above.

Brève description des dessins D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent des exemples de réalisation dépourvus de tout caractère limitatif.BRIEF DESCRIPTION OF THE DRAWINGS Other features and advantages of the present invention will emerge from the description given below, with reference to the accompanying drawings which illustrate embodiments having no limiting character.

Sur les figures : la figure 1 représente, de façon schématique, un système d'identification, un terminal mobile et une plateforme de services conformes à l'invention, dans leur environnement, dans un premier mode de réalisation de l'invention ; les figures 2A et 2B représentent respectivement, l'architecture matérielle de la plate-forme de services et du terminal mobile de la figure 1 ; la figure 3 représente, sous forme d'ordinogramme, les principales étapes d'un procédé de fourniture de données d'identification selon l'invention, lorsqu'elles sont mises en oeuvre, dans le premier mode de réalisation, par le terminal mobile de la figure 1 ; la figure 4 représente, sous forme d'ordinogramme, les principales étapes d'un procédé d'identification selon l'invention, lorsqu'elles sont mises en oeuvre, dans le premier mode de réalisation, par la plateforme de services de la figure 1 ; la figure 5 représente, de façon schématique, un système d'identification, un terminal mobile et une plateforme de services conformes à l'invention, dans leur environnement, dans un second mode de réalisation de l'invention ; la figure 6 représente l'architecture matérielle du terminal mobile de la figure 5 ; et la figure 7 représente, sous forme d'ordinogramme, les principales étapes d'un procédé d'identification d'un utilisateur conforme à l'invention, lorsqu'elles sont mises en oeuvre, dans le second mode de réalisation, par le terminal mobile de la figure 2.In the figures: FIG. 1 schematically represents an identification system, a mobile terminal and a service platform according to the invention, in their environment, in a first embodiment of the invention; FIGS. 2A and 2B respectively represent the hardware architecture of the service platform and the mobile terminal of FIG. 1; FIG. 3 represents, in the form of a flow chart, the main steps of a method for providing identification data according to the invention, when implemented, in the first embodiment, by the mobile terminal of FIG. Figure 1; FIG. 4 represents, in the form of a flow chart, the main steps of an identification method according to the invention, when they are implemented, in the first embodiment, by the service platform of FIG. 1 ; FIG. 5 schematically represents an identification system, a mobile terminal and a service platform according to the invention, in their environment, in a second embodiment of the invention; FIG. 6 represents the hardware architecture of the mobile terminal of FIG. 5; and FIG. 7 represents, in the form of a flow chart, the main steps of a method of identifying a user according to the invention, when they are implemented, in the second embodiment, by the terminal. mobile of Figure 2.

Description détaillée de l'invention La figure 1 représente, dans son environnement, un système d'identification 1 conforme à l'invention, dans un premier mode de réalisation. Dans l'exemple décrit ici, on envisage l'identification d'un utilisateur U lors d'une transaction électronique initiée à distance par l'utilisateur U avec un fournisseur de services SP (non représenté sur la figure 1) offrant un service de commerce électronique. Une telle identification peut s'avérer nécessaire notamment lors du paiement par l'utilisateur U de la prestation fournie par le fournisseur de services SP, à l'aide d'une carte bancaire. En effet, comme décrit précédemment, le paiement à distance par carte bancaire est sujet à de nombreuses fraudes : il s'agit donc, pour le fournisseur de services SP, de s'assurer par la mise en oeuvre de l'invention, que l'utilisateur U qui utilise la carte bancaire pour le paiement de la prestation, est bien son propriétaire, autrement dit, d'identifier l'utilisateur U comme le propriétaire de la carte bancaire utilisée pour payer la prestation. Pour cela, le fournisseur de services fait appel à une passerelle dite de paiement 2, en charge de la gestion de l'étape de paiement de la prestation. Bien entendu, cet exemple n'est donné qu'à titre illustratif, et l'invention s'applique dans d'autres contextes (ex. transactions bancaires, inscription à un service, etc.) dans lesquels on cherche à identifier un utilisateur de manière sûre de façon à limiter les fraudes liées à l'usurpation d'identité. Ainsi, par exemple, l'invention peut également s'appliquer dans un contexte de dématérialisation des inscriptions des utilisateurs auprès d'un fournisseur de services tel que par exemple un opérateur de télécommunications, afin de simplifier l'identification des utilisateurs tout en assurant que cette identification est fiable.DETAILED DESCRIPTION OF THE INVENTION FIG. 1 represents, in its environment, an identification system 1 according to the invention, in a first embodiment. In the example described here, the identification of a user U is contemplated during an electronic transaction initiated remotely by the user U with a service provider SP (not shown in FIG. 1) offering a commercial service. electronic. Such identification may be necessary, in particular when the user U pays the service provided by the service provider SP, using a bank card. Indeed, as described above, the remote payment by credit card is subject to many frauds: it is therefore, for the service provider SP, to ensure by the implementation of the invention, that the U user who uses the credit card for the payment of the benefit, is the owner, that is, to identify the user U as the owner of the credit card used to pay the benefit. For this, the service provider uses a so-called payment gateway 2, in charge of managing the payment stage of the service. Of course, this example is given for illustrative purposes only, and the invention applies in other contexts (eg banking transactions, registration to a service, etc.) in which it seeks to identify a user of safe way to limit frauds related to identity theft. Thus, for example, the invention can also be applied in a context of dematerialization of user registrations with a service provider such as for example a telecommunications operator, in order to simplify the identification of users while ensuring that this identification is reliable.

Dans le premier mode de réalisation décrit ici, la passerelle de paiement 2 est avantageusement en contact avec une autorité de confiance appelée centre d'identité 4, apte à fournir sur requête, des données d'identification fiables (i.e. sûres) concernant le propriétaire d'une carte bancaire déterminée. Un tel centre d'identité est connu en soi et ne sera pas décrit plus en détail ici.In the first embodiment described here, the payment gateway 2 is advantageously in contact with a trusted authority called identity center 4, able to provide on request, reliable identification data (ie, secure) concerning the owner of the payment gateway. 'a bank card determined. Such an identity center is known per se and will not be described in more detail here.

Dans l'exemple envisagé ici, le centre d'identité 4 est une entité (ex. un serveur) gérée par la banque du propriétaire de la carte bancaire utilisée pour le paiement de la transaction. Cette entité mémorise, en association avec les informations de la carte bancaire, des données d'identification relatives au propriétaire de cette carte ainsi que d'autres informations comme par exemple, son numéro de téléphone mobile.In the example envisaged here, the identity center 4 is an entity (eg a server) managed by the bank of the owner of the bank card used for the payment of the transaction. This entity stores, in association with the credit card information, identification data relating to the owner of this card and other information such as, for example, his mobile phone number.

Conformément à l'invention, pour réaliser l'identification de l'utilisateur U, le système d'identification 1 s'appuie sur une plateforme de services 3 conforme à l'invention, à laquelle s'adresse la passerelle de paiement 2 pour identifier l'utilisateur U. La plateforme de services 3 a, dans le premier mode de réalisation décrit ici, l'architecture matérielle d'un ordinateur, telle que représentée schématiquement à la figure 2A.According to the invention, in order to carry out the identification of the user U, the identification system 1 is based on a service platform 3 according to the invention, to which the payment gateway 2 for identification is addressed. the user U. The service platform 3 has in the first embodiment described here, the hardware architecture of a computer, as shown schematically in Figure 2A.

Elle comporte notamment un processeur 3A, une mémoire vive 3B, une mémoire morte 3C, une mémoire flash non volatile 3D, et des moyens de communication 3E avec d'autres entités via un ou plusieurs réseaux de télécommunications. Ainsi, les moyens de communications 3E comprennent ici un module (tel une carte réseau) permettant à la plateforme de services 3 de communiquer et d'échanger des données avec la passerelle de paiement 2 (la plateforme de services 3 et la passerelle de paiement 2 peuvent être situés dans le même réseau ou être connectés à des réseaux différents), ainsi qu'un module lui permettant de communiquer sur un réseau de télécommunications mobile NW. Le réseau de télécommunications mobile NW est par exemple ici un réseau mobile UMTS, tel que défini par le standard 3GPP. De façon connue, un tel réseau prévoit avantageusement la mise en oeuvre de diverses procédures pour sécuriser les échanges de données (i.e. les communications) sur le réseau. Il convient de noter qu'aucune limitation n'est attachée à proprement parler à la nature du réseau mobile NW, dès lors que celui-ci est sécurisé par des procédures adéquates (chiffrement des données, authentification des utilisateurs, etc.). Il peut ainsi s'agir, en variante, d'un réseau mobile de type EPC (Evolved Packet Core), d'un réseau mobile de seconde génération tel un réseau GSM, GPRS (General Packet Radio Service) ou EDGE (Enhanced Data rates for GSM Evolution), etc.It comprises in particular a processor 3A, a random access memory 3B, a read-only memory 3C, a nonvolatile 3D flash memory, and 3E communication means with other entities via one or more telecommunications networks. Thus, the communication means 3E here comprise a module (such as a network card) enabling the service platform 3 to communicate and exchange data with the payment gateway 2 (the service platform 3 and the payment gateway 2 may be located in the same network or connected to different networks), as well as a module enabling it to communicate on a mobile telecommunications network NW. The mobile telecommunications network NW is for example here a UMTS mobile network, as defined by the 3GPP standard. In known manner, such a network advantageously provides the implementation of various procedures to secure the exchange of data (i.e. communications) on the network. It should be noted that no limitation is strictly attached to the nature of the mobile network NW, as long as it is secured by appropriate procedures (data encryption, user authentication, etc.). It can thus be, in a variant, an Evolved Packet Core (EPC) type mobile network, a second generation mobile network such as a GSM network, General Packet Radio Service (GPRS) or Enhanced Data Rates (EDGE) network. for GSM Evolution), etc.

La mémoire morte 3C de la plateforme de services 3 constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 3A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'identification d'un utilisateur conforme à l'invention, décrites ultérieurement en référence à la figure 3.The ROM 3C service platform 3 is a recording medium according to the invention, readable by the processor 3A and on which is recorded a computer program according to the invention, including instructions for execution steps of a user identification method according to the invention, described later with reference to FIG.

Conformément à l'invention, l'identification d'un utilisateur est réalisée en s'appuyant sur des données d'identification stockées sur un support d'identification électronique attribué à l'utilisateur. Ainsi, le système d'identification 1 comprend également, pour réaliser l'identification de l'utilisateur U, un support d'identification électronique 5 attribué à l'utilisateur U, sur lequel sont stockées, dans un espace sécurisé, des données d'identification DM relatives à l'utilisateur U, telles que par exemple, son nom, son prénom, sa date et son lieu de naissance, le numéro du support d'identification électronique, etc. Plus précisément, dans l'exemple envisagé ici, le support d'identification électronique 5 est une carte d'identité électronique ou eID (electronic IDentity), telle que décrite dans le document de spécifications techniques édité par le groupement GIXEL (Groupement des Industries de l'interconneXion, des composants et des sous-ensemble ELectroniques), et intitulé « Carte Européenne pour les applications de services électroniques (e-services) et d'identité électronique (e-ID) », v1.0.1, 21 mars 2008. Il comprend un circuit électronique équipé de moyens de communications en champ proche aussi connus sous le nom de moyens de communication NFC (Near Field Communication).According to the invention, the identification of a user is performed by relying on identification data stored on an electronic identification medium assigned to the user. Thus, the identification system 1 also comprises, to perform the identification of the user U, an electronic identification support 5 assigned to the user U, on which are stored, in a secure space, data of DM identification relating to the user U, such as, for example, his surname, first name, date and place of birth, the number of the electronic identification medium, etc. More precisely, in the example envisaged here, the electronic identification support 5 is an electronic identity card or eID (electronic IDentity), as described in the technical specifications document published by the GIXEL group (Groupement des Industries de the interconnexion, electronic components and subassemblies), and entitled "European Card for Electronic Services (e-Services) and Electronic Identity (e-ID) Applications", v1.0.1, March 21, 2008. It comprises an electronic circuit equipped with near-field communications means also known as Near Field Communication (NFC) communication means.

Ces moyens de communication sont composés, de façon connue, d'un module de communication en champ proche ou module NFC, auquel est associée une antenne permettant d'établir une communication sans contact avec une autre entité dite NFC équipée également de moyens de communication en champ proche, et située à proximité du support électronique 5. Ainsi, notamment et conformément à l'invention, il est prévu que le support électronique 5 communique avec un module de communications en champ proche équipant un terminal mobile 6 de l'utilisateur U, pour permettre l'identification de l'utilisateur U en réponse à une requête d'identification émanant de la passerelle de paiement 2 pour le compte du fournisseur de services SP. Le terminal 6 de l'utilisateur U est par exemple ici un téléphone intelligent aussi connu sous l'appellation de « smartphone », équipé d'un module de communications NFC et d'une carte d'identité d'abonné SIM-6, telle une carte SIM ou une carte USIM, lui permettant de communiquer sur le réseau mobile NW.These communication means are composed, in known manner, of a near field communication module or NFC module, which is associated with an antenna for establishing a contactless communication with another NFC entity also equipped with communication means. near field, and located near the electronic support 5. Thus, in particular and in accordance with the invention, it is expected that the electronic medium 5 communicates with a near field communications module equipping a mobile terminal 6 of the user U, to allow identification of the user U in response to an identification request from the payment gateway 2 on behalf of the service provider SP. The terminal 6 of the user U is for example here a smart phone also known as a "smartphone", equipped with an NFC communications module and a SIM-6 subscriber identity card, such as a SIM card or a USIM card, allowing him to communicate on the NW mobile network.

De façon connue en soi, la carte SIM-6 constitue un élément de stockage et d'exécution sécurisé, qui contient, entre autres, diverses informations liées à l'utilisateur et à son abonnement au réseau de télécommunications mobile NW, et permet au terminal 6 de se connecter au réseau mobile NW.In a manner known per se, the SIM-6 card constitutes a secure storage and execution element, which contains, among other things, various information related to the user and his subscription to the mobile telecommunications network NW, and allows the terminal 6 to connect to the NW mobile network.

Cette carte d'identité d'abonné est associée à un identifiant de l'utilisateur U sur le réseau de télécommunications mobile NW, noté ID(U), qui est en l'occurrence ici le numéro de téléphone ou numéro MSISDN (Mobile Station Intergrated Services Digital Network) de l'utilisateur U sur le réseau mobile NW. Aucune limitation n'est toutefois attachée à la nature du terminal mobile 6 de l'utilisateur U dès lors que celui-ci est équipé d'un module de communication en champ proche, d'un élément sécurisé et est apte à communiquer sur un réseau de télécommunications mobile. Le terminal mobile 6 dispose ici de l'architecture matérielle d'un ordinateur, comme illustré schématiquement à la figure 2B. Il comporte notamment un processeur 6A, une mémoire vive 6B, une mémoire morte 6C, une mémoire flash non volatile 6D, des moyens 6E de communication en champ proche, lui permettant d'interroger notamment le support électronique d'identification 5, ainsi que des moyens de communication 6F sur le réseau de télécommunications mobile NW, incluant la carte d'identité d'abonné SIM-6. Les moyens de communication NFC 6E et la carte d'identité d'abonné SIM-6 (autrement dit, l'élément sécurisé du terminal 6) sont reliés, dans le premier mode de réalisation, par l'intermédiaire d'une interface physique 6G de type SWP (Single Wire Protocol) telle que décrite dans le document de spécification TS 102 613 édité par l'ETSI (European Telecommunications Standard Institute). En variante, d'autres interfaces physiques peuvent être implémentées entre les moyens de communication NFC 6E et la carte SIM-6, comme par exemple une interface physique I2C ou une interface physique SPI. De façon connue, une telle interface permet de transporter les données au niveau de la couche physique (i.e. les données ne remontent pas au niveau applicatif), par opposition à une interface protocolaire ou logicielle.This subscriber identity card is associated with an identifier of the user U on the mobile telecommunications network NW, denoted ID (U), which in this case is the telephone number or number MSISDN (Mobile Station Intergrated). Digital Network Services) of user U on the NW mobile network. No limitation is however attached to the nature of the mobile terminal 6 of the user U since it is equipped with a near-field communication module, a secure element and is able to communicate on a network mobile telecommunications. The mobile terminal 6 here has the hardware architecture of a computer, as shown schematically in Figure 2B. It comprises in particular a processor 6A, a random access memory 6B, a read-only memory 6C, a non-volatile flash memory 6D, means 6E for near-field communication, enabling it to interrogate in particular the electronic identification medium 5, as well as 6F communication means on the NW mobile telecommunications network, including the SIM-6 subscriber identity card. The NFC communication means 6E and the subscriber identity card SIM-6 (that is, the secure element of the terminal 6) are connected, in the first embodiment, via a physical interface 6G. of SWP (Single Wire Protocol) type as described in specification document TS 102 613 published by the ETSI (European Telecommunications Standard Institute). As a variant, other physical interfaces may be implemented between the NFC communication means 6E and the SIM-6 card, such as for example an I2C physical interface or a physical SPI interface. In a known manner, such an interface makes it possible to transport the data at the level of the physical layer (i.e. the data do not go back to the application level), as opposed to a protocol or software interface.

Il convient de noter que pour la mise en oeuvre de l'invention, on peut, en variante, envisager un élément sécurisé sur le terminal 6 distinct de la carte SIM-6 de l'utilisateur U, en s'assurant que celui-ci est relié via une interface physique et non une interface protocolaire ou logicielle aux moyens de communications NFC 6E du terminal 6. La mémoire morte 6C du terminal 6 constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 6A et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé de fourniture de données d'identification conforme à l'invention, décrites maintenant en référence à la figure 4.It should be noted that for the implementation of the invention, one can, alternatively, consider a secure element on the terminal 6 separate from the SIM-6 card of the user U, ensuring that it is connected via a physical interface and not a protocol or software interface to the NFC 6E communications means of the terminal 6. The read-only memory 6C of the terminal 6 constitutes a recording medium in accordance with the invention, readable by the processor 6A and on which is recorded a computer program according to the invention, comprising instructions for performing the steps of a method of providing identification data according to the invention, now described with reference to Figure 4.

Nous allons maintenant décrire, en référence aux figures 3 et 4, les principales étapes d'un procédé d'identification d'un utilisateur et d'un procédé de fourniture de données d'identification telles que mises en oeuvre dans le premier mode de réalisation, respectivement par la plateforme de services 3 et par le terminal 6, pour permettre l'identification de l'utilisateur U lors d'une transaction électronique avec le fournisseur de services SP. On suppose que cette transaction électronique est initiée par l'utilisateur U en se connectant, par exemple avec son terminal mobile 6, sur un site web du fournisseur de services SP, et que l'utilisateur U indique au fournisseur de services SP souhaiter payer la prestation offerte lors de cette transaction à l'aide d'une carte bancaire.We will now describe, with reference to FIGS. 3 and 4, the main steps of a method for identifying a user and a method for providing identification data as implemented in the first embodiment. respectively by the service platform 3 and the terminal 6, to allow identification of the user U during an electronic transaction with the service provider SP. It is assumed that this electronic transaction is initiated by the user U by connecting, for example with his mobile terminal 6, to a website of the service provider SP, and that the user U indicates to the service provider SP wishing to pay the benefit offered during this transaction using a credit card.

L'utilisateur U est alors redirigé vers une page sécurisée hébergée par la passerelle de paiement 2 pour s'identifier et fournir les informations figurant sur sa carte bancaire afin de réaliser son paiement, par exemple son numéro de carte bancaire. Dans le premier mode de réalisation décrit ici, la passerelle de paiement 2, sur réception de ces informations, interroge le centre d'identité 4 (éventuellement via un serveur de la banque du propriétaire de la carte de paiement utilisée), afin d'obtenir des données d'identification DI2 relatives au propriétaire de la carte de paiement utilisée par l'utilisateur U. Cette interrogation est réalisée à l'aide des informations de carte bancaire fournies par l'utilisateur U (ex. du numéro de carte bancaire), par le biais d'une requête REQ envoyée par la passerelle de paiement 2 à destination du centre d'identité 4.The user U is then redirected to a secure page hosted by the payment gateway 2 to identify himself and provide the information on his credit card to make his payment, for example his credit card number. In the first embodiment described here, the payment gateway 2, upon receipt of this information, queries the identity center 4 (possibly via a server of the bank of the owner of the payment card used), in order to obtain identification data DI2 relating to the owner of the payment card used by the user U. This interrogation is performed using the credit card information provided by the user U (eg credit card number), through a REQ request sent by the payment gateway 2 to the identity center 4.

Il convient de noter que d'autres paramètres peuvent être utilisés pour interroger le centre d'identité 4, dès lors qu'ils permettent de désigner sans ambiguïté auprès du centre d'identité 4 le propriétaire de la carte bancaire utilisée pour le paiement. En réponse à cette interrogation, la passerelle de paiement 2 reçoit les données d'identification DI2 ainsi que dans le premier mode de réalisation décrit ici, un numéro de téléphone mobile enregistré par le propriétaire de la carte de paiement. Les données d'identification DI2 constituent des secondes données d'identification au sens de l'invention. Elles sont supposées établir de manière fiable l'identité du propriétaire de la carte bancaire utilisée pour le paiement. Elles peuvent comprendre notamment le nom et le prénom du propriétaire de la carte bancaire, sa date et son lieu de naissance, le numéro de sa carte d'identité électronique, etc., autrement dit, tout type d'information permettant d'identifier sans ambiguïté l'identité du propriétaire de la carte bancaire. Dans l'exemple décrit ici, on suppose que le numéro de téléphone mobile reçu du centre d'identité 4 correspond au numéro de téléphone ID(U) de l'utilisateur U sur le réseau de télécommunications mobile NW.It should be noted that other parameters can be used to interrogate the identity center 4, since they allow to unambiguously identify with the identity center 4 the owner of the credit card used for payment. In response to this interrogation, the payment gateway 2 receives the identification data DI2 and in the first embodiment described here, a mobile phone number registered by the owner of the payment card. The identification data DI2 constitute second identification data within the meaning of the invention. They are supposed to reliably establish the identity of the owner of the credit card used for payment. They may include, but are not limited to, the name and surname of the owner of the credit card, the date and place of birth, the number of the electronic identity card, etc., in other words, any type of information that can be used to identify ambiguity the identity of the owner of the credit card. In the example described here, it is assumed that the mobile phone number received from the identity center 4 corresponds to the telephone number ID (U) of the user U on the mobile telecommunications network NW.

En variante, le numéro de téléphone mobile ID(U) de l'utilisateur U sur le réseau de télécommunications mobile NW peut être obtenu par la passerelle de paiement 2 en invitant, via la page sécurisée, l'utilisateur U à fournir le numéro de téléphone mobile qu'il souhaite utiliser pour son identification. Cette variante peut être mise en oeuvre également si le propriétaire de la carte de paiement n'a pas renseigné de numéro de téléphone mobile auprès de sa banque (et donc du centre d'identité 4). La passerelle de paiement 2 envoie ensuite une requête REQ-ID d'identification de l'utilisateur U à la plateforme de services 3 comprenant les données d'identification DI2 et le numéro de téléphone reçu du centre d'identité 4. Sur réception de la requête REQ-ID (étape E10), la plateforme de services 3 mémorise les données d'identification DI2 dans sa mémoire non volatile 3D, en association avec le numéro de téléphone ID(U) de l'utilisateur U (étape E20). Puis, dans le premier mode de réalisation décrit ici, elle envoie une commande CMD-ID au terminal 6, via le réseau de télécommunication NW en utilisant l'identifiant ID(U), pour que celui-ci active ses moyens de communications en champ proche afin de lire et de capturer les données DI1, stockées sur la carte d'identité électronique 5 (étape E30). Cette commande CMD-ID comprend un message d'invitation destiné à l'utilisateur U du terminal 6, s'affichant par exemple sur l'écran du terminal 6, l'invitant à placer son terminal mobile 6 à proximité de sa carte d'identité électronique 5, afin de permettre aux moyens de communication NFC 6E du terminal 6 de communiquer avec les moyens de communication NFC de la carte d'identité électronique 5. Il convient de noter que, dans le premier mode de réalisation décrit ici, si le numéro de téléphone fourni par le centre d'identité 4 à la passerelle de paiement 2 ne correspond pas à un numéro de téléphone utilisé par l'utilisateur U (tel que par exemple ici à son identifiant ID(U) sur le réseau de télécommunications NW), la commande CMD-ID ne parvient pas jusqu'à l'utilisateur U : la procédure d'identification de l'utilisateur U ne peut donc être menée jusqu'à son terme et s'achève brusquement et l'utilisateur U n'est pas identifié comme étant le propriétaire de la carte bancaire utilisée pour le paiement.As a variant, the mobile telephone number ID (U) of the user U on the mobile telecommunications network NW can be obtained by the payment gateway 2 by inviting, via the secure page, the user U to provide the number of mobile phone he wishes to use for his identification. This variant can also be implemented if the owner of the payment card has not entered a mobile phone number with his bank (and therefore the identity center 4). The payment gateway 2 then sends a request REQ-identification ID of the user U to the service platform 3 comprising the identification data DI2 and the telephone number received from the identity center 4. On receipt of the REQ-ID request (step E10), the service platform 3 stores the identification data DI2 in its non-volatile memory 3D, in association with the telephone number ID (U) of the user U (step E20). Then, in the first embodiment described here, it sends a CMD-ID command to the terminal 6, via the telecommunication network NW using the identifier ID (U), so that it activates its means of communications in the field. near to read and capture the DI1 data, stored on the electronic identity card 5 (step E30). This command CMD-ID comprises an invitation message for the user U of the terminal 6, for example displayed on the screen of the terminal 6, inviting him to place his mobile terminal 6 near his card. electronic identity 5, in order to allow the NFC communication means 6E of the terminal 6 to communicate with the NFC communication means of the electronic identity card 5. It should be noted that, in the first embodiment described here, if the telephone number provided by the identity center 4 to the payment gateway 2 does not correspond to a telephone number used by the user U (as for example here to its identifier ID (U) on the telecommunications network NW ), the command CMD-ID does not reach up to the user U: the identification procedure of the user U can not be completed and ends abruptly and the user U n ' is not identified as the owner the credit card used for payment.

Dans une variante de réalisation, lorsque l'utilisateur U utilise un autre dispositif que le terminal 6 pour effectuer sa transaction électronique (tel que par exemple un ordinateur), le message invitant l'utilisateur U à placer son terminal à proximité de sa carte d'identité électronique 5, peut être envoyé à ce dispositif et s'afficher par exemple sur son écran. Dans une autre variante encore, l'activation des moyens de communications en champ proche du terminal 6 peut être déclenchée par l'utilisateur U, par exemple via un menu idoine du terminal 6 ou en appuyant sur un bouton du terminal 6 prévu à cet effet. Sur réception de la commande CMD-ID (et donc du message d'invitation) par les moyens de communication 6F du terminal 6 (étape F10), l'utilisateur U place son terminal 6 à proximité de ou sur sa carte d'identité électronique 5.In an alternative embodiment, when the user U uses a device other than the terminal 6 to perform his electronic transaction (such as for example a computer), the message inviting the user U to place his terminal near his card d electronic identity 5, can be sent to this device and display for example on its screen. In another variant, the activation of the near-field communication means of the terminal 6 can be triggered by the user U, for example via a suitable menu of the terminal 6 or by pressing a button of the terminal 6 provided for this purpose . On receipt of the command CMD-ID (and therefore the invitation message) by the communication means 6F of the terminal 6 (step F10), the user U places his terminal 6 near or on his electronic identity card 5.

Les moyens de communication NFC 6E obtiennent alors les données DI1 d'identification de l'utilisateur U stockées sur la carte d'identité électronique 5 (premières données d'identification au sens de l'invention), en communiquant avec les moyens de communication NFC de la carte 5 de façon connue en soi (étape F20).The NFC communication means 6E then obtain the user identification data DI1 U stored on the electronic identity card 5 (first identification data within the meaning of the invention), by communicating with the NFC communication means of the card 5 in a manner known per se (step F20).

Grâce à la proximité de la carte 5 avec le terminal mobile 6, on peut s'assurer que les données d'identification DI1 ne sont pas interceptées entre ces deux entités par un tiers. Puis les moyens de communication NFC 6E transmettent les données DI1 ainsi obtenues à la carte SIM-6, via l'interface physique SWP 6G (étape F30). De cette manière, les données DI1 sont transmises au niveau de la couche physique et ne remontent pas au niveau applicatif. Il est par conséquent impossible ou quasi-impossible pour un logiciel malveillant, éventuellement installé sur le terminal mobile 6, de capturer ces données, celui-ci opérant seulement au niveau de la couche applicative du terminal mobile 6. Dans le premier mode de réalisation décrit ici, la carte SIM-6 fournit les données d'identification DI1 reçues sur l'interface physique 6G à la plateforme de services 3 pour qu'elle puisse identifier l'utilisateur U en comparant ces données aux données d'identification DI2 reçues de la plateforme de paiement 2 (autrement dit provenant du centre d'identité 4) (étape F40). A cette fin, elle envoie un message via le réseau de télécommunications NW à la plateforme de services 3 contenant les données d'identification DI1. Les données d'identification DI1 fournies à la plateforme de services 3 bénéficient ainsi des procédures de protection des données inhérentes mises en place sur le réseau de télécommunications mobile NW (via notamment les procédures de chiffrement fortes prévues sur la voie radio du réseau NW ou l'authentification de la carte SIM-6 du terminal 6). En référence à la figure 3, la plateforme de services 3 reçoit les données d'identification DI1 via le réseau mobile NW par l'intermédiaire de ses moyens 3F (étape E40), et les stocke dans sa mémoire non volatile 3D en association avec l'identifiant ID(U) du terminal 6 (étape E50). La plateforme de services 3 compare ensuite les données d'identification DI1 reçues du terminal mobile 6 avec les données DI2 reçues du centre d'identité 4 (autrement dit, les champs correspondants de chacun des ensembles de données DI1 et DI2) (étape E60). Si les données d'identification DI1 et DI2 sont identiques (réponse oui à l'étape test E70), la plateforme de services 3 identifie l'utilisateur U (étape E80). Autrement dit, l'utilisateur U qui cherche à payer sa transaction électronique auprès du fournisseur de services SP à l'aide de la carte bancaire, est bien le propriétaire de cette carte bancaire déclaré au niveau du centre d'identité 4. En revanche, si les données d'identification DI1 et DI2 sont différentes (réponse non à l'étape test E70), la plateforme de services 3 rejette l'identification de l'utilisateur U (étape E90). La plateforme de services 3 fournit une preuve d'identification de l'utilisateur U à la passerelle de paiement 2 l'informant de l'issue de cette identification (étape E100), pour que celle- ci valide ou annule en fonction le paiement de la transaction électronique. Dans le premier mode de réalisation décrit ici, la comparaison des données d'identification est réalisée par la plateforme de services 3.Due to the proximity of the card 5 with the mobile terminal 6, it can be ensured that the identification data DI1 are not intercepted between these two entities by a third party. Then the NFC communication means 6E transmit the DI1 data thus obtained to the SIM-6 card, via the physical interface SWP 6G (step F30). In this way, the DI1 data is transmitted at the level of the physical layer and does not go back to the application level. It is therefore impossible or almost impossible for malicious software, possibly installed on the mobile terminal 6, to capture this data, which operates only at the application layer of the mobile terminal 6. In the first embodiment described here, the SIM-6 card supplies the identification data DI1 received on the physical interface 6G to the service platform 3 so that it can identify the user U by comparing these data with the identification data DI2 received from the payment platform 2 (in other words from identity center 4) (step F40). For this purpose, it sends a message via the telecommunications network NW to the service platform 3 containing the identification data DI1. The identification data DI1 provided to the service platform 3 thus benefit from the inherent data protection procedures implemented on the mobile telecommunications network NW (notably via the strong encryption procedures provided for on the radio channel of the NW network or the network. authentication of the SIM-6 card of the terminal 6). With reference to FIG. 3, the service platform 3 receives the identification data DI1 via the mobile network NW via its means 3F (step E40), and stores them in its nonvolatile memory 3D in association with the identifier ID (U) of the terminal 6 (step E50). The service platform 3 then compares the identification data DI1 received from the mobile terminal 6 with the data DI2 received from the identity center 4 (in other words, the corresponding fields of each of the data sets DI1 and DI2) (step E60). . If the identification data DI1 and DI2 are identical (answer yes to the test step E70), the service platform 3 identifies the user U (step E80). In other words, the user U who tries to pay for his electronic transaction with the service provider SP using the bank card, is the owner of the credit card declared at the level of the identity center 4. In contrast, if the identification data DI1 and DI2 are different (answer no to the test step E70), the service platform 3 rejects the identification of the user U (step E90). The service platform 3 provides a proof of identification of the user U to the payment gateway 2 informing him of the outcome of this identification (step E100), so that it validates or cancels the payment of the payment. the electronic transaction. In the first embodiment described here, the comparison of the identification data is performed by the service platform 3.

Nous allons maintenant décrire, en référence aux figures 5 à 7, un second mode de réalisation de l'invention dans lequel cette comparaison est réalisée par l'élément sécurisé même du terminal mobile. Ainsi, la figure 5 représente, dans son environnement, un système d'identification 1' conforme à l'invention, dans ce second mode de réalisation. Les éléments similaires à ceux décrits pour le premier mode de réalisation ne seront pas décrits de nouveau en détail. Pour illustrer ce second mode de réalisation, on se place dans des hypothèses similaires au premier mode de réalisation : on envisage l'identification d'un utilisateur U' lors d'une transaction électronique initiée à distance par l'utilisateur U' avec un fournisseur de services SP' (non représenté) offrant un service de commerce électronique. Pour cela, le fournisseur de services SP' fait appel à une passerelle dite de paiement 2' similaire à la passerelle de paiement 2 décrite précédemment, en contact avec un centre d'identité 4', apte à fournir sur requête, des données d'identification fiables (i.e. sûres) concernant le propriétaire d'une carte bancaire déterminée.We will now describe, with reference to FIGS. 5 to 7, a second embodiment of the invention in which this comparison is carried out by the secure element itself of the mobile terminal. Thus, FIG. 5 represents, in its environment, an identification system 1 'according to the invention, in this second embodiment. Elements similar to those described for the first embodiment will not be described again in detail. To illustrate this second embodiment, one places oneself in similar hypotheses to the first embodiment: one considers the identification of a user U 'during an electronic transaction initiated remotely by the user U' with a provider SP 'service (not shown) providing an e-commerce service. For this, the service provider SP 'uses a payment gateway 2' similar to the payment gateway 2 described above, in contact with an identity center 4 ', able to provide on request, data of reliable identification (ie safe) regarding the owner of a particular bank card.

Le système d'identification 1' s'appuie sur une plateforme de services 3', à laquelle s'adresse la passerelle de paiement 2' pour identifier l'utilisateur U'. La plateforme de services 3' a, dans le second mode de réalisation décrit ici, l'architecture matérielle d'un ordinateur, et comporte un processeur, une mémoire vive, une mémoire morte, une mémoire flash non volatile, ainsi que des moyens de communication avec d'autres entités via un ou plusieurs réseaux de télécommunications. Ces moyens de communications comprennent ici un module (tel une carte réseau) permettant à la plateforme de services 3' de communiquer et d'échanger des données avec la passerelle de paiement 2' ainsi qu'un module lui permettant de communiquer sur un réseau de télécommunications mobile NW'.The identification system 1 'is based on a service platform 3', which is addressed to the payment gateway 2 'to identify the user U'. The service platform 3 'has, in the second embodiment described here, the hardware architecture of a computer, and comprises a processor, a random access memory, a read only memory, a non-volatile flash memory, as well as means for communication with other entities via one or more telecommunications networks. These means of communication here comprise a module (such as a network card) enabling the service platform 3 'to communicate and exchange data with the payment gateway 2' as well as a module enabling it to communicate over a network of networks. NW 'mobile telecommunications.

Le réseau de télécommunications mobile NW' est par exemple ici un réseau mobile UMTS, tel que défini par le standard 3GPP, prévoyant la mise en oeuvre de diverses procédures pour sécuriser les échanges de données (i.e. les communications) sur le réseau. Comme pour le premier mode de réalisation, aucune limitation n'est toutefois attachée à la nature à proprement parler du réseau mobile NW.The mobile telecommunication network NW 'is for example here a UMTS mobile network, as defined by the 3GPP standard, providing for the implementation of various procedures for securing data exchanges (i.e. communications) on the network. As for the first embodiment, however, no limitation is attached to the nature itself of the mobile network NW.

Conformément à l'invention, l'identification d'un utilisateur est réalisée en s'appuyant sur des données d'identification stockées sur un support d'identification électronique attribué à l'utilisateur. Ainsi, le système d'identification 1' comprend également un support d'identification électronique 5' attribué à l'utilisateur U', sur lequel sont stockées, dans un espace sécurisé, des données d'identification DM.' relatives à l'utilisateur U'.According to the invention, the identification of a user is performed by relying on identification data stored on an electronic identification medium assigned to the user. Thus, the identification system 1 'also comprises an electronic identification support 5' assigned to the user U ', on which are stored, in a secure space, DM identification data. relating to the user U '.

Dans l'exemple envisagé ici, le support d'identification électronique 5' est une carte d'identité électronique eID, comprenant un circuit électronique équipé de moyens de communications en champ proche NFC.In the example envisaged here, the electronic identification support 5 'is an electronic identity card eID, comprising an electronic circuit equipped with NFC near-field communications means.

L'utilisateur U' dispose par ailleurs d'un terminal mobile 6', qui est par exemple un téléphone intelligent ou « smartphone », équipé d'un module de communications NFC et d'une carte d'identité d'abonné SIM-6' (élément sécurisé au sens de l'invention), telle une carte SIM ou une carte USIM, lui permettant de communiquer sur le réseau mobile NW'.The user U 'also has a mobile terminal 6', which is for example a smartphone or smartphone, equipped with an NFC communications module and a SIM-6 subscriber identity card. '(secure element in the sense of the invention), such as a SIM card or a USIM card, allowing it to communicate on the mobile network NW'.

Cette carte d'identité d'abonné est associée à un identifiant de l'utilisateur U' sur le réseau mobile NW', noté ID(U'), qui est en l'occurrence ici le numéro MSISDN de l'utilisateur U' sur le réseau mobile NW'. Le terminal mobile 6' dispose ici de l'architecture matérielle d'un ordinateur, comme illustré schématiquement à la figure 6.This subscriber identity card is associated with an identifier of the user U 'on the mobile network NW', denoted ID (U '), which in this case is the MSISDN number of the user U' on the mobile network NW '. The mobile terminal 6 'here has the hardware architecture of a computer, as illustrated schematically in FIG. 6.

Il comporte notamment un processeur 6A', une mémoire vive 6B', une mémoire morte 6C', une mémoire flash non volatile 6D', des moyens 6E' de communication en champ proche, lui permettant d'interroger notamment le support électronique d'identification 5', ainsi que des moyens de communication 6F' sur le réseau de télécommunications mobile NW', incluant la carte d'identité d'abonné SIM-6'.It comprises in particular a processor 6A ', a random access memory 6B', a read-only memory 6C ', a non-volatile flash memory 6D', means 6E 'of communication in the near field, enabling it to interrogate in particular the electronic identification medium 5 ', as well as communication means 6F' on the mobile telecommunication network NW ', including the subscriber identity card SIM-6'.

Les moyens de communication NFC 6E' et la carte d'identité d'abonné SIM-6' (autrement dit, l'élément sécurisé du terminal 6') sont reliés ici par l'intermédiaire d'une interface physique 6G' de type SWP. La mémoire morte 6C' du terminal 6 constitue un support d'enregistrement conforme à l'invention, lisible par le processeur 6A' et sur lequel est enregistré un programme d'ordinateur conforme à l'invention, comportant des instructions pour l'exécution des étapes d'un procédé d'identification conforme à l'invention, décrites maintenant en référence à la figure 7. La figure 7 illustre les principales étapes mises en oeuvre dans le second mode de réalisation, par le terminal 6', pour l'identification de l'utilisateur U' lors d'une transaction électronique avec le fournisseur de services 2'.The communication means NFC 6E 'and the subscriber identity card SIM-6' (in other words, the secure element of the terminal 6 ') are connected here via a physical interface 6G' of the SWP type. . The read-only memory 6C 'of the terminal 6 constitutes a recording medium in accordance with the invention, readable by the processor 6A' and on which is recorded a computer program according to the invention, comprising instructions for the execution of the steps of an identification method according to the invention, now described with reference to FIG. 7. FIG. 7 illustrates the main steps implemented in the second embodiment, by the terminal 6 ', for identification. of the user U 'during an electronic transaction with the service provider 2'.

On suppose que cette transaction électronique est initiée par l'utilisateur U' en se connectant, par exemple avec son terminal mobile 6', sur un site web du fournisseur de services SP', et que l'utilisateur U' indique au fournisseur de services SP' souhaiter payer la prestation offerte lors de cette transaction à l'aide d'une carte bancaire. L'utilisateur U' est alors redirigé vers une page sécurisée hébergée par la passerelle de paiement 2' pour s'identifier et fournir les informations figurant sur sa carte bancaire afin de réaliser son paiement, par exemple son numéro de carte bancaire. Dans le second mode de réalisation décrit ici, la passerelle de paiement 2', sur réception de ces informations, interroge le centre d'identité 4' (via par exemple un serveur de la banque du propriétaire de la carte de paiement utilisée), afin d'obtenir des données d'identification DI2' relatives au propriétaire de la carte de paiement utilisée par l'utilisateur U'. Cette interrogation est réalisée à l'aide des informations de carte bancaire fournies par l'utilisateur U' (ex. du numéro de carte bancaire), par le biais d'une requête REQ' envoyée par la passerelle de paiement 2' à destination du centre d'identité 4'.It is assumed that this electronic transaction is initiated by the user U 'by connecting, for example with his mobile terminal 6', on a website of the service provider SP ', and that the user U' indicates to the service provider SP 'want to pay the service offered during this transaction using a credit card. The user U 'is then redirected to a secure page hosted by the payment gateway 2' to identify himself and provide the information on his credit card to make his payment, for example his credit card number. In the second embodiment described here, the payment gateway 2 ', on receipt of this information, queries the identity center 4' (via, for example, a server of the bank of the owner of the payment card used), so that obtain identification data DI2 'relating to the owner of the payment card used by the user U'. This interrogation is carried out using the bank card information provided by the user U '(eg credit card number), by means of a request REQ' sent by the payment gateway 2 'to the bank. identity center 4 '.

En réponse à cette interrogation, la passerelle de paiement 2' reçoit les données d'identification DI2' (secondes données d'identification au sens de l'invention) ainsi que dans le second mode de réalisation décrit ici, un numéro de téléphone mobile enregistré par le propriétaire de la carte de paiement.In response to this interrogation, the payment gateway 2 'receives the identification data DI2' (second identification data within the meaning of the invention) as well as in the second embodiment described here, a registered mobile phone number. by the owner of the payment card.

Dans l'exemple décrit ici, on suppose que le numéro de téléphone mobile reçu du centre d'identité 4' correspond au numéro de téléphone ID(U') de l'utilisateur U' sur le réseau de télécommunications mobile NW'. En variante, le numéro de téléphone mobile ID(U') de l'utilisateur U' sur le réseau de télécommunications mobile NW' peut être obtenu par la passerelle de paiement 2' en invitant, via la page sécurisée, l'utilisateur U' à fournir le numéro de téléphone mobile qu'il souhaite utiliser pour son identification. La passerelle de paiement 2' envoie ensuite une requête REQ-ID' d'identification de l'utilisateur U' à la plateforme de services 3' comprenant les données d'identification DI2' et le numéro de téléphone ID(U').In the example described here, it is assumed that the mobile phone number received from the identity center 4 'corresponds to the telephone number ID (U') of the user U 'on the mobile telecommunications network NW'. As a variant, the mobile telephone number ID (U ') of the user U' on the mobile telecommunication network NW 'can be obtained by the payment gateway 2' by inviting, via the secure page, the user U ' to provide the mobile phone number that he wishes to use for his identification. The payment gateway 2 'then sends a user identification request REQ ID' U 'to the service platform 3' comprising the identification data DI2 'and the telephone number ID (U').

Dans le second mode de réalisation décrit ici, sur réception de la requête REQ-ID', la plateforme de services 3' envoie une commande CMD-ID' au terminal 6', via le réseau de télécommunication NW' en utilisant l'identifiant ID(U)', pour que celui-ci active ses moyens de communications en champ proche afin de lire et de capturer les données DI1' stockées sur la carte d'identité électronique 5'.In the second embodiment described here, upon receipt of the request REQ-ID ', the service platform 3' sends a command CMD-ID 'to the terminal 6' via the telecommunication network NW 'using the identifier ID (U) ', so that it activates its means of communication in the near field to read and capture DI1' data stored on the electronic identity card 5 '.

Dans le second mode de réalisation décrit ici, la commande CMD-ID' contient les données d'identification DI2', afin de limiter les échanges entre la plateforme de services 3' et le terminal 6'. En variante, les données d'identification DI2' peuvent être transmises au terminal 6' sur le réseau NW' dans un message distinct de la commande CMD-ID'.In the second embodiment described here, the command CMD-ID 'contains the identification data DI2', in order to limit the exchanges between the service platform 3 'and the terminal 6'. As a variant, the identification data DI2 'can be transmitted to the terminal 6' on the network NW 'in a message distinct from the command CMD-ID'.

La commande CMD-ID' comprend également ici un message d'invitation destiné à l'utilisateur U' du terminal 6', s'affichant par exemple sur l'écran du terminal 6', l'invitant à placer son terminal mobile 6' à proximité de sa carte d'identité électronique 5', afin de permettre aux moyens de communication NFC 6E' du terminal 6' de communiquer avec les moyens de communication NFC de la carte d'identité électronique 5'.The CMD-ID 'command also comprises here an invitation message intended for the user U' of the terminal 6 ', displayed for example on the screen of the terminal 6', inviting him to place his mobile terminal 6 ' close to its electronic identity card 5 ', to allow the NFC communication means 6E' of the terminal 6 'to communicate with the NFC communication means of the electronic identity card 5'.

En variante, ce message d'invitation peut être envoyé au dispositif (ex. ordinateur) que l'utilisateur U' utilise pour effectuer son paiement si celui-ci est distinct du terminal 6'. Sur réception de la commande CMD-ID' et du message d'invitation par les moyens de communication 6F' du terminal 6' (étape F10'), le terminal 6' stocke les données DI2' contenues dans la commande CMD-ID' dans sa mémoire non volatile 6D' (étape F20').As a variant, this invitation message may be sent to the device (eg computer) that the user U 'uses to make his payment if it is different from the terminal 6'. On receipt of the command CMD-ID 'and the invitation message by the communication means 6F' of the terminal 6 '(step F10'), the terminal 6 'stores the data DI2' contained in the command CMD-ID 'in its non-volatile memory 6D '(step F20').

L'utilisateur U' place par ailleurs son terminal 6' à proximité de ou sur sa carte d'identité électronique 5'. Les moyens de communication NFC 6E' obtiennent alors les données DIr d'identification de l'utilisateur U' stockées sur la carte d'identité électronique 5' (premières données d'identification au sens de l'invention), en communiquant avec les moyens de communication NFC de la carte 5' de façon connue en soi (étape F30'). Puis les moyens de communication NFC 6E' transmettent les données DI1' ainsi obtenues à la carte SIM-6', via l'interface physique SWP 6G' (étape F40').The user U 'also places his terminal 6' near or on his electronic identity card 5 '. The NFC communication means 6E 'then obtain the user identification data DIr U' stored on the electronic identity card 5 '(first identification data within the meaning of the invention), by communicating with the means NFC communication of the 5 'card in a manner known per se (step F30'). Then the NFC communication means 6E 'transmit the data DI1' thus obtained to the SIM-6 ', via the physical interface SWP 6G' (step F40 ').

La carte SIM-6' du terminal 6' compare ensuite les données DI1' avec les données DI2' stockées dans sa mémoire (étape F50'). Si les données d'identification DI1' et DI2' sont identiques (réponse oui à l'étape test F60'), la carte SIM-6' identifie l'utilisateur U' (étape F70'). Autrement dit, l'utilisateur U' qui cherche à payer sa transaction électronique auprès de la plateforme de paiement 2' à l'aide de la carte bancaire, est bien le propriétaire de cette carte bancaire déclaré au niveau du centre d'identité 4'. En revanche, si les données d'identification DM' et DI2' sont différentes (réponse non à l'étape test F60'), la carte SIM-6' rejette l'identification de l'utilisateur U' (étape F80'). Le terminal 6' fournit ensuite une preuve d'identification de l'utilisateur U' à la plateforme de services 3' l'informant de l'issue de l'identification de l'utilisateur U' (étape F90').The SIM-6 'of the terminal 6' then compares the data DI1 'with the data DI2' stored in its memory (step F50 '). If the identification data DI1 'and DI2' are identical (yes answer to the test step F60 '), the SIM-6' identifies the user U '(step F70'). In other words, the user U 'who seeks to pay for his electronic transaction with the payment platform 2' using the credit card, is the owner of the credit card declared at the level of the identity center 4 ' . On the other hand, if the identification data DM 'and DI2' are different (answer no to the test step F60 '), the SIM-6' rejects the identification of the user U '(step F80'). The terminal 6 'then provides a proof of identification of the user U' to the service platform 3 'informing him of the outcome of the identification of the user U' (step F90 ').

La plateforme de services 3' fournit à son tour la preuve d'identification de l'utilisateur U' à la passerelle de paiement 2' pour que celle-ci valide ou annule en fonction le paiement de la transaction électronique. Dans les deux modes de réalisation décrit ici, les données d'identification échangées entre le terminal mobile et la plateforme de services via le réseau de télécommunications mobile bénéficient « uniquement » des procédures de sécurisation inhérentes au réseau mobile. En variante, on peut envisager qu'une protection supplémentaire de ces données et de leur intégrité soit mise en oeuvre avant leur émission sur le réseau mobile, à l'aide de techniques de sécurisation spécifiques implémentées par le terminal mobile et par la plateforme de services, telles que des techniques de chiffrement et/ou de signature des données, venant renforcer les procédures de sécurisation inhérentes au réseau mobile. De telles techniques sont connues en soi et ne seront pas décrites en détail ici.The service platform 3 'in turn provides the identification of the user U' to the payment gateway 2 'for it to validate or cancel the payment of the electronic transaction. In both embodiments described herein, the identification data exchanged between the mobile terminal and the service platform via the mobile telecommunications network benefits "only" from the security procedures inherent in the mobile network. As a variant, it may be envisaged that additional protection of these data and their integrity is implemented before they are transmitted on the mobile network, using specific security techniques implemented by the mobile terminal and by the service platform. , such as encryption techniques and / or data signing, reinforcing the security procedures inherent to the mobile network. Such techniques are known per se and will not be described in detail here.

Claims

REVENDICATIONS1. Method for providing, to a service platform (3), identification data (DI1) of a user (U) intended to be implemented by a terminal (6) able to communicate on a mobile telecommunications network (NW), this terminal being provided with a near-field communication module (6E) and a secure element (SIM-6) connected via a physical interface (6G), said method comprising: a step of obtaining (F20), by the module (6E) for communication in the near field of the terminal (6), identification data (DI1) of the user (U) stored on an electronic identification medium (5) provided with a near field communication module; a transmission step (F30), by the near-end communication module (6E) of the terminal, of the identification data (DI1) obtained at the secure element (SIM-6) of the terminal, via the physical interface ( 6G); and - a provisioning step (F40), by the secure element (SIM-6) of the terminal, via the mobile telecommunications network (NW), identification data (DI1) to the service platform (3) for identification of the user (U).

2. A method of identifying a user (U ') by a terminal (6') able to communicate on a mobile telecommunications network (NW '), comprising: - a step of obtaining (F30'), by a near-end communication module (6E ') equipping the terminal (6'), first identification data (DI1 ') of the user (U') stored on an electronic identification medium (5 ') provided with a near field communication module; a transmission step (F40 '), by the near-end communication module (6E') of the terminal, of the first identification data obtained to a secure element (SIM-6 ') of the terminal, via a physical interface (6G ') connecting the near-field communication module and the secure element of the terminal; a comparison step (F50 '), by the secure element (SIM-6'), first identification data (DI1 ') with second identification data (DI2') obtained from a service platform ( 3 ') via the mobile telecommunications network (NW'); and - according to the result of the comparison step (F50 ', F60'), an identification step (F70 ') of the user (U').

3. A method of identifying a user (U) by a service platform (3) comprising: - a step of receiving (E40) first identification data (DI1) from a user (U) stored on a an electronic identification medium (5) provided with a near-field communication module, said first identification data (DI1) being supplied to the service platform (3) by a terminal (6) via a mobile telecommunications network ( NW) according to a supply method according to claim 1; a comparison step (E60) of the first identification data (DI1) with second identification data (DI2); and - depending on the result of the comparing step (E60, E70), an identification step (E80) of the user (U).

4. Method according to any one of claims 1 to 3 wherein the secure element (SIM-6, SIM-6`) of the terminal (6,6 ') is a subscriber identity card allowing the terminal to communicate on the telecommunications network (NW, NW ').

5. Method according to claim 4 wherein the physical interface (6G, 6G ') between the secure element (SIM-6, SIM-6') and the module (6E, 6E ') of communication in the near field of the terminal is a SWP (Single Wire Protocol) interface.

The method of claim 2 further comprising a step of providing (F90 ') the result of the step of identifying the user to the service platform (3').

The method of claim 3 wherein the second identification data (DU) is from a trusted authority (4).

The method of claim 3 further comprising a step of providing (E100) a proof of identification of the user to a third party. delivery method according to claim 1 or the identification method according to the claim

9. Computer program comprising instructions for performing the steps of 2 or 3 when said program is executed by a computer.

A computer-readable recording medium on which a computer program is recorded including instructions for executing the steps of the supply method according to claim 1 or the identification method according to claim 2 or 3.

11. Terminal (6) able to communicate on a mobile telecommunications network (NW) and comprising: - a module (6E) for communication in the near field; a secure element (SIM-6); and a physical interface (6G) connecting the near-field communication module (6E) and the secure element (SIM-6), and wherein: the near-end communication module (6E) of the terminal is configured so that obtaining identification data (DI1) from a user (U) stored on an electronic identification medium (5) provided with a near-field communication module, and transmitting the identification data (DI1) obtained at the secure element (SIM-6) via the physical interface (6G); and - the secure element (SIM-6) of the terminal is configured to provide, via the mobile telecommunications network (NW), the identification data (DI1) to a service platform (3) for identification of the 'user.

12. Terminal (6 ') able to communicate on a mobile telecommunications network (NW') and comprising: - a module (6E ') for communication in the near field; - a secure element (SIM-6 '); and a physical interface (6G ') connecting the near-field communication module (6E) and the secure element (SIM-6'); and wherein: the near field communication module (6E ') of the terminal is configured to obtain first identification data (DI1') of a user (U ') stored on an electronic identification medium (5 ') provided with a near field communication module, and to transmit the first identification data obtained to the secure element (SIM-6') via the physical interface (6G '); and the secure element (SIM-6 ') of the terminal (6') is configured so as to compare the first identification data (DI1 ') with second identification data (DI2') obtained from a platform of services (3 ') via the mobile telecommunications network (NW'), and depending on the result of this comparison, to identify the user (U ').

13. Service platform (3) comprising: receiving means (3E) of a user's first identification data (DI1) (U) stored on an electronic identification medium (5) provided with a data module; communication in the near field, these first identification data (DI1) being supplied to the service platform (3) via a mobile telecommunications network (NW) by a terminal according to claim 10; comparison means (3A) of the first identification data (DI1) with second identification data (DI2); and identification means (3A) of the user (U) activated according to the result of the comparison performed by the comparison means.

14. A user identification system (1,1 ') (U, U') comprising: a service platform (3,3 '); an identification medium (5,5 ') of the user provided with a near-field communication module, and on which are stored first identification data (DI1, DI1') of the user; - A terminal (6,6 ') adapted to communicate on a mobile telecommunications network (NW, NW') and according to claim 11 or 12. claim 11 and said service platform (3) is in accordance with claim 13.

15. System (1) according to claim 14 wherein the terminal (6) conforms to the