FR2994047A1

FR2994047A1 - Dispositif de personnalisation pour module securise

Info

Publication number: FR2994047A1
Application number: FR1257183A
Authority: FR
Inventors: Martin Jolette; Ruben Rico
Original assignee: Oberthur Technologies SA
Current assignee: Idemia France SAS
Priority date: 2012-07-24
Filing date: 2012-07-24
Publication date: 2014-01-31
Anticipated expiration: 2032-07-24
Also published as: FR2994047B1

Abstract

Dispositif de personnalisation (12) d'un module sécurisé (18) comprenant : - un moyen de stockage (21) apte à stocker un profil d'abonnement (22) pour un réseau de communication cellulaire (14), ledit profil d'abonnement (22) contenant les moyens nécessaires à une authentification d'un terminal mobile (11) porteur du dit module sécurisé (18) préalable à l'établissement d'une connexion au dit réseau de communication cellulaire (14), - un moyen de communication (13) avec le dit module sécurisé (18), - un premier moyen d'authentification dudit module sécurisé (18) auprès du dispositif de personnalisation (12), un deuxième moyen d'authentification du dispositif de personnalisation (12) auprès du dit module sécurisé (18), un moyen de transfert apte à transférer ledit profil d'abonnement (22) vers le module sécurisé (18), si les moyens d'authentification sont validés. Terminal mobile, procédé de personnalisation et système de diffusion de profil d'abonnement.

Description

La présente invention concerne un dispositif et un procédé de personnalisation, permettant de transmettre à un module sécurisé, de manière sécurisée, un profil d'abonnement. Un tel profil d'abonnement est destiné à permettre à un terminal mobile porteur du dit module sécurisé de s'authentifier auprès d'un opérateur de réseau de communication cellulaire, par exemple celui ayant délivré le dit abonnement, afin de se connecter au dit réseau de communication cellulaire. /0 Le contenu d'un tel profil d'abonnement peut dépendre du protocole du réseau de communication cellulaire, mais comprend typiquement au moins un identifiant de l'abonnement et un secret partagé, telle une clé cryptographique, associée au dit identifiant de l'abonnement. 15 Un profil d'abonnement est partagé entre un terminal mobile, et un réseau de communication cellulaire, typiquement au sein d'un module d'authentification. Un tel module d'authentification est en charge de vérifier qu'un terminal mobile muni d'un abonnement, lorsqu'ils se présentent pour 20 établir une connexion avec le réseau de communication cellulaire, sont autorisés à se connecter. La procédure d'authentification a pour objet, pour chacune des entités parmi le réseau de communication cellulaire et le terminal mobile de vérifier que l'autre entité est détentrice du 25 secret partagé. La procédure d'authentification évite de transmettre, par quelque moyen, le dit secret partagé, entre les deux entités. Selon l'art antérieur un profil d'abonnement est créé en usine. Une copie de ce profil d'abonnement est communiquée au 30 réseau de communication cellulaire directement via une connexion sécurisée avec le module d'authentification En parallèle, une copie de ce profil d'abonnement est transférée sur une carte intelligen risée, â abonn tt. Une tel ::te sécuri TICC ou ce qu'ell te U peut Cette carte , peut alors est ent un profil vendu lors de la d'un abonnement. Elle peut être un terminal mobile, dispot: d'un lecteur apte à .uniquer avec une telle carte UICC. Le profil d'abonnement se trouve ainsi disposé dans un terminal mobile et peut être utilisé, via les capacités de traitement et de communication d'une carte UICC, pour la procédure d'authentification. Il est à noter ici que le secret partagé, au cours d'une authentification, reste sur la carte UICC, et n'est pas communiqué, pas même au terminal mobile. Il est à noter encore que, par ce biais d'un transport physique sous forme d'une carte intelligente sécurisée, il 10 est possible de placer un profil d'abonnement dans un terminal mobile sans que le contenu de ce profil d'abonnement, et plus particulièrement le secret partagé, ne transite par un réseau. Il est apparu depuis peu, des cartes UICC enfouies, sous /5 forme de composant, dénommé e-UICC (UICC enfoui ou en anglais : embedded UICC). Un tel composant e-UICC est en charge de toutes les fonctions jusqu'ici réalisées par une carte UICC, mais est réalisé sous forme d'un composant soudé sur un circuit imprimé du terminal mobile. Le principal 20 avantage est de réaliser un gain de volume, en supprimant le lecteur. Il serait possible de transférer de manière sécurisée en usine un profil d'abonnement sur un tel composant e-UICC. Cependant une telle procédure correspond peu à la réalité 25 actuelle où les fabricants de terminaux mobiles ne sont généralement par les opérateurs de réseau de communication cellulaire, fournisseurs d'abonnements. De plus une telle procédure, nécessitant un retour en usine n'est pas adaptée aux exigences des utilisateurs qui souhaitent notamment 30 pouvoir changer d'opérateur de réseau de communication cellulaire et de plus réaliser l'opération par eux-mêmes. Afin de ne pas créer de dépendance préjudiciable entre fabricant de terminal mobile et fournisseur d'abonnement, tout en permettant à un utili rester maître d pro un moyen de trans depuis un opérater fournisseur d'ab - s,il convient ut d'un d'abonnement de Hon cellulaire un co .t- -UICC, monté sur 35 son termi:u-l mobile de son ou s ab un terminal mobile de manière inamovible, ou encore vers une carte UICC amovible. Compte tenu de l'importance économique d'un tel profil d'abonnement, en ce qu'il permet, entre autres, de contrôler la facturation des services de communication offerts par un opérateur, il convient que ce moyen de transfert garantisse une sécurité renforcée. Pour cela l'invention a pour objet un dispositif de personnalisation pour un module sécurisé, le dit dispositif de personnalisation comprenant : un moyen de stockage apte à 10 stocker un profil d'abonnement pour un réseau de communication cellulaire, ledit profil d'abonnement contenant les moyens nécessaires à une authentification d'un terminal mobile porteur du dit module sécurisé préalable à l'établissement d'une connexion au dit réseau de /5 communication cellulaire, un moyen de communication avec le dit module sécurisé, un premier moyen d'authentification dudit module sécurisé auprès du dispositif de personnalisation, un deuxième moyen d'authentification du dispositif de personnalisation auprès du dit module sécurisé, 20 un moyen de transfert apte à transférer ledit profil d'abonnement vers le module sécurisé, si les moyens d'authentification sont validés. Selon une autre caractéristique de l'invention, le dispositif comprend encore un troisième moyen 25 d'authentification du propriétaire du dispositif de personnalisation. Selon une autre caractéristique de l'invention, le moyen de stockage est une carte mémoire intelligente et sécurisée. Selon une autre caractéristique de l'invention, le réseau 30 de ---dcation cellulaire utilise la norme GSM et le profil d'abonn. nt comprend un identificateur d'abonnement et une clé d de :nvention, :icat ion R 5 unE- -Ion » vérifiu un code de sécurité « module sécurisé » fourni par le module sécurisé. Selon une autre caractéristique de l'invention, le code de sécurité « module sécurisé » est produit à partir d'une clé secrète et est vérifiable par l'application « dispositif de personnalisation ». Selon une autre caractéristique de l'invention, le deuxième moyen d'authentification comprend au moins un code de sécurité « dispositif de personnalisation » apte à être 10 vérifié par une application « module sécurisé » implémentée dans le module sécurisé. Selon une autre caractéristique de l'invention, le code de sécurité « dispositif de personnalisation » est produit à partir d'une clé secrète et est vérifiable par l'application 15 « module sécurisé ». Selon une autre caractéristique de l'invention, le troisième moyen d'authentification comprend un moyen de vérification d'un code du dispositif de personnalisation. L'invention concerne encore un terminal mobile, du type 20 apte à se connecter à un réseau de communication cellulaire, le dit terminal mobile comprenant : un module sécurisé, un moyen de communication avec un dispositif de personnalisation, un premier moyen d'authentification du module sécurisé auprès du dit dispositif de personnalisation, 25 un deuxième moyen d'authentification du dit dispositif de personnalisation auprès du module sécurisé, un moyen de réception apte à recevoir un profil d'abonnement depuis le dispositif de personnalisation et à le mettre en place dans le module sécurisé, si les moyens d'authentification sont 30 validés. Selon une autre caractéristique de l'invention, le premier moyen d'authentification comprend au moins un code de sécurité « module sécurisé » à être vérifj5 car une icat ion « dispositif dE le dispositif de pers n » une autre carac: e de l'inv ui:,tme moyen d'authentification nd un- , module sécurisé » apte à vérifier eu moins un cocc: de le sécurité « dispositif de personnalisation dispositif de personnalisation. fourni par le Selon une autre caractéristique de terminal mobile comprend encore un moyen l'invention, le de transfert d'un code du terminal mobile vers le dispositif de personnalisation. L'invention concerne encore un procédé de personnalisation pour un module sécurisé, au moyen d'un dispositif de personnalisation, le dit procédé comprenant les 10 étapes suivantes : mise en communication du module sécurisé et du dispositif de personnalisation, authentification du module sécurisé par le dispositif de personnalisation, authentification du dispositif de personnalisation par le module sécurisé, si les authentifications sont positives, /5 transfert d'un profil d'abonnement stocké dans le dispositif de personnalisation vers le module sécurisé. Selon une autre caractéristique de l'invention, le procédé comprend encore une étape, préalable au transfert, d'authentification du propriétaire du dispositif de 20 personnalisation. Selon une autre caractéristique de l'invention, l'étape d'authentification du propriétaire comprend une transmission depuis le terminal mobile vers le dispositif de personnalisation d'un code d'identification personnel du dit 25 propriétaire. Selon une autre caractéristique de l'invention, l'étape de transfert est réalisée de manière cryptée au moyen d'un moyen de cryptage maitrisé par l,-- module sécurisé. L'invention concerne encore 7.ie diffusion d'un 30 profil d'ab= =me: vers un module sécurise, le dit système .,sitif de personnalisation, un ....érateur un profil ur le à être cines obi- .orteur du de com ion lluhire, un comprenant : générateur de premier moyen d'authentification apte à produire un premier moyen d'authentification comprenant une première partie apte à être stockée sur le dispositif de personnalisation, et une deuxième partie apte à être stockée sur le module sécurisé, les deux parties étant aptes à se reconnaitre afin de permettre au dispositif de personnalisation d'authentifier le module sécurisé, un générateur de deuxième moyen d'identification apte à produire un deuxième moyen d'authentification comprenant une première 10 partie apte à être stockée sur le module sécurisé, et une deuxième partie apte à être stockée sur le dispositif de personnalisation, les deux parties étant aptes à se reconnaitre afin de permettre au d'authentifier le dispositif de personnalisation. /5 caractéristiques, détails D'autres et avantages de l'invention ressortiront plus clairement de la description détaillée donnée ci-après à titre indicatif en relation avec des dessins sur lesquels : - la figure 1 illustre un possible environnement de mise 20 en oeuvre de l'invention, - la figure 2 illustre selon un mode de réalisation les échanges effectués d'une part lors des préparations du module sécurisé et du dispositif de personnalisation et d'autre part lors de la personnalisation. 25 Selon la figure 1, un réseau de communication cellulaire 14 est figuré par un serveur 19 de coeur de réseau et une cellule 15. Cette cellule 15 couvre une zone géographique au moyen d'une liaison de communication radio 16 qui permet à des terminaux mobiles, tels le terminal mobile 11, présents dans ladite zone géographique de se connecter au réseau de communication cellulaire 14 afin d'utiliser ses services. Lorsqu'un terminal mobile 11 se connecte à un tel réseau de communication cellulaire dit ter nal mobile 11 :,'un profil d'abonn . 22. Un tel fourni par un , teur de réseau celluiaie 14, Une copi _ .'un tel profil m est par ailleurs par opérateur et est stoc par exemple dan:- serveur 19 de module sécurisé 30 fL; coeur de réseau. Lorsqu'un terminal mobile 11 tente d'établir une connexion au réseau de communication cellulaire 14, il contacte ledit réseau 14 via une cellule 15. Le terminal mobile 11 est ensuite mis en relation avec un module d'authentification par exemple situé dans un serveur 19 de coeur de réseau. Des messages sont échangés entre le terminal mobile 11 et le module d'authentification et ont pour objet de vérifier que le terminal mobile 11 est en possession d'un profil d'abonnement 22 similaire à un profil d'abonnement 17 /0 stocké au sein du réseau de communication cellulaire 14. Ces messages échangés sont typiquement en mesure de faire la preuve que la copie de profil d'abonnement 22 dont le terminal mobile 11 est en possession comprend un secret partagé présent aussi dans la copie de profil d'abonnement 17 15 dont le réseau 14 est en possession sans pour autant que ce secret partagé ne soit effectivement échangé entre les deux entités. Dans le cas illustratif d'un réseau de communication cellulaire 14 selon un protocole GSM, un profil d'abonnement 20 22 comprend un identificateur d'abonnement et un secret partagé. L'identificateur d'abonnement est un numéro nommé IMSI, de l'anglais : International Mobile Subscriber Identity, signifiant identité internationale d'abonnement mobile, qui permet d'identifier de manière unique 25 l'abonnement. Le secret partagé est sous la forme d'une clé cryptographique nommée Ki. Un profil d'abonnement 22 comprend au moins un numéro IMSI et un secret partagé Ki. Il peut encore contenir d'autres informations telles qu'un logo de l'opérateur, des accords de partenariat (roaming) de 30 l'opérateur, etc. Lorsqu'un terminal mobile 11 tente connecter au réseau de communi» 'tion cellulaire 14, le module d'authentific -ion, AuC pour le 252, -ioduf un nombre . Deux algorit' , bar 23,- et A8 pcur citer des ilisés, sont utilisés pour crypter RAND la olé cryptog. i,-7ue Ki, et obtenir deux ai : réponse s_ nee SRES = AS (Pi, RAND) et une cl de Kc = A8(Ki, RAND). Les nombres (RAND, SRES, Kc) forme ce qui est communément appelé le triplet. En réponse à une demande d'authentification, il est renvoyé au terminal mobile 11 le nombre RAND. Le terminal mobile 11, qui dispose de Ni et de l'algorithme A3, reproduit SRES en appliquant l'algorithme A3 pour crypter RAND au moyen de la clé de cryptage Ni. Ce SRES est renvoyé au réseau 14 qui le compare avec celui du triplet initialement déterminé par le module d'authentification. S'ils sont égaux, ceci /0 prouve que le terminal mobile 11 est en possession de Ni et que son abonnement est valide. Le terminal mobile 11 est alors autorisé à se connecter au réseau de communication cellulaire 14. Ensuite, le terminal mobile 11, qui dispose de Ni et de 15 l'algorithme A8, reproduit Kc en appliquant l'algorithme A8 pour crypter RAND au moyen de la clé de cryptage Ni. Cette clé de session Kc, ainsi partagée entre le terminal mobile 11 et le réseau 14, est utilisée pour crypter les contenus échangés durant une session de communication ouverte suite à 20 la procédure d'authentification. La solution de l'art antérieur de stocker de manière sûre en usine une copie du profil d'abonnement 22 sur une carte USIM ou UICC qui peut ensuite être insérée dans un terminal mobile 11 n'est plus suffisante aujourd'hui où l'on souhaite 25 pouvoir personnaliser un terminal mobile 11. Cette personnalisation doit permettre de transférer un profil d'abonnement 22 vers un module sécurisé 18 d'un terminal mobile 11. Le dit module sécurisé 18 peut être un composant UICC enfoui ou e-UICC, intégré au terminal mobile 11 de manière non démontable. Il peut encore s'agir d'un module UICC lassique de type carte UICC ou USIM amovible. Avà: geuce- -- la per: a-alisation doit pouvoir être par l' 'lisat 18. La pe m consiste à 35 un module sécurisé u:: à un module ige, soit pour fo-.. un nouvel remplacer ou s'ajouter à un ou plusieurs a ut terminal mobile 11 / module un pour encore venant 'ents déjà s'a-- tr. 18, présents. Afin de réaliser une personnalisation d'un module sécurisé 18, l'invention comprend avantageusement un dispositif de personnalisation 12. Un tel dispositif de personnalisation 12 comprend un moyen de stockage 21 apte à stocker un profil d'abonnement 22. Ce profil d'abonnement 22 est typiquement dédié à un réseau de communication cellulaire 14. Pour ce réseau 14, le profil d'abonnement 22 comprend les moyens nécessaires à une authentification d'un module 10 sécurisé 18 et donc d'un terminal mobile 11 portant le dit module, auprès du dit réseau 14. La dite authentification est le plus souvent un préalable à un établissement d'une connexion au dit réseau de communication cellulaire 14. Le profil d'abonnement 22 ainsi stocké dans le moyen de 15 stockage 21 du dispositif de personnalisation 12 est le profil d'abonnement 22 destiné à être transféré vers le module sécurisé 18. Il est typiquement introduit dans le dispositif de personnalisation 12 en usine chez l'opérateur du réseau / fournisseur d'abonnement, avec ainsi toutes les 20 garanties de sécurité et d'intégrité. Le dispositif de personnalisation 12 comprend encore un moyen de communication 13 avec le module sécurisé 18. Ce moyen de communication 13 est utile au transfert 35 du profil d'abonnement 22 depuis le dispositif de personnalisation 12 25 vers le module sécurisé 18. Il est encore utile aux échanges préalables entre le dispositif de personnalisation 12 et le module sécurisé 18 permettant de préparer le dit transfert 35 et, entre autres, de vérifier l'authenticité tant du dispositif de personnalisation 12 que du module sécurisé 18. 30 Avant de procéder au transfert 35 du profil d'abonnement 22, afin de sécuriser le dit transfert 35, il est procédé à une authentification le. Pour cela deux moyens d'authentification sont util J. Ces deux ,lification c t nt r p- le _tif de pers lsatl ") et disposée sur -.)dule sécurisé l. Cg (3-ux partie Laloquent entre les fin de tenter de se r Un premier moyen d'authenti.:-ic:ition permet d'authentifier le module sécurisé 18 auprès du dispositif de personnalisation 12. Un deuxième moyen d'authentification permet d'authentifier le dispositif de personnalisation 12 auprès du module sécurisé 18. Une fois validées avec succès toutes les authentifications, il peut être procédé au transfert 35 du profil d'abonnement 22 stocké dans le dispositif de personnalisation 12, vers le module sécurisé 18. Pour cela le dispositif de personnalisation 12 comprend encore un moyen de /0 transfert apte à réaliser le dit transfert 35. L'authentification mutuelle du dispositif de personnalisation 12 et du module sécurisé 18 permet de vérifier qu'ils sont tous deux authentiques. Ceci implique qu'ils aient tous deux été initialisés par l'opérateur de /5 réseau 14 qui distribue le profil d'abonnement 22 ou par un fabricant autorisé par ce dernier. L'authentification du module sécurisé 18 par le dispositif de personnalisation 12 est la plus importante en ce qu'elle permet de vérifier que le dit module sécurisé 18 20 est bien authentique, avant de lui transférer le profil d'abonnement 22, afin d'éviter que le profil d'abonnement 22 ne puisse être ainsi capté par un pirate se faisant passer pour un module sécurisé 18. Optionnellement, l'authentification du dispositif de personnalisation 12 par 25 le module sécurisé 18 complète la sécurité du système en empêchant un piratage d'un module sécurisé 18, et ainsi d'un terminal mobile 11, au moyen d'un dispositif de personnalisation 12 contrefait. Une troisième authentification peut optionnellement ê r30 ajoutée afin de vérifier l'authenticité du porteur du dispositif de personnalisation 12 en tant que propriétaire autorisé. Pour cela il est vérifié une conjonction entre le dispositif de peisonn, pn 12 et une caractéristique -ris4 (caractéristique conne que du :if 9e Pern --Hation dit aire 12) . lin troisième moyen d' entif' it en détail plus loin.

Si un tel troisième moyen d'authentification est employé, un transfert 35 du profil d'abonnement 22 n'est réalisé que si toutes les authentifications, cette troisième authentification incluse, sont validées. Avantageusement, le dispositif de personnalisation 12 est suffisamment petit pour être portatif. Ceci permet à un utilisateur de le transporter facilement pour pourvoir réaliser la personnalisation où bon lui semble. Lors de la distribution de l'abonnement, un utilisateur achète un /0 abonnement. L'utilisateur reçoit alors un dispositif de personnalisation 12, contenant un profil d'abonnement 22, preuve d'abonnement et moyen de sa mise en oeuvre par personnalisation d'un module sécurisé 18. Une petite taille est encore avantageuse en ce qu'elle permet de réaliser un 15 lot abonnement vendu de taille réduite. Selon un mode de réalisation avantageux, le dispositif de personnalisation 12, ou le moyen de stockage 21, est une carte mémoire intelligente et sécurisée. Une telle carte est dite intelligente (smart card en anglais) en ce qu'elle est 20 dispose d'une capacité de traitement de l'information. Elle est dite sécurisée en ce qu'elle permet une protection des données qu'elle stocke contre toute tentative d'accès non autorisé. Une telle carte intelligente et sécurisée peut être une 25 carte à microcircuit, dite encore carte à puce. La capacité de traitement est offerte par un microcontrôleur intégré à la carte qui comprend en plus une zone de stockage mémoire. L'accès aux données stockées dans la mémoire est nécessairement réalisé via des méthodes logicielles exécutées 30 par le microcont oleur intégré, ce qui permet d'interdire ou de contrôler via un processus d'authentification identification préalable, tout ac aux données. Par ailleurs un accIs direct à la zone :-. -oire e- impossible. Une tell intellig: une arte (de encorr r. cle -ent -par un m-icrocircuiL zone ce stockage mémoire. ut encore ou tout autre type prote comme tous les Le dispositif de personnalisation 12 comprend un moyen de communication 13 lui permettant de communiquer avec un module sécurisé 18. Avantageusement, ce moyen de communication 13 permet une communication directe, sans intermédiaire, entre 5 le dispositif de personnalisation 12 et le module sécurisé 18. Ainsi la communication ne transite avantageusement pas ni par le terminal mobile 11, ni par le réseau de communication cellulaire 14. Ainsi, il est plus aisé de sécuriser la transmission. Ceci est particulièrement avantageux lors de 10 l'étape de transfert 35 où sont transférées des données sensibles, tel que le contenu du profil d'abonnement 22. Alternativement, notamment si le module sécurisé 18 ne comporte pas lui-même de moyen de communication, la communication 13 peut être indirecte et transiter par un 15 composant relais, par exemple disposé dans le terminal mobile 11. Dans ce cas la communication entre le composant relais et le module sécurisé 18 doit être elle aussi sécurisée, à l'instar de la procédure de transfert 35 et du reste du procédé de personnalisation.

20 Selon un mode de réalisation préférentiel, le moyen de communication 13 utilise la norme de communication sans fil NFC (de l'anglais Near Field Communication : communication à champ proche). Le moyen de communication 13 comprend une partie transmetteur (émetteur/récepteur) embarquée sur le 25 dispositif de personnalisation 12 et une partie transmetteur similaire (émetteur/récepteur) correspondante embarquée de préférence directement sur le module sécurisé 18, ou à défaut sur le terminal mobile 11 et connectée de manière communicante sécurisée avec le module sécurisé 18, ces deux 30 parties étant aptes à communiquer selon la norme NFC. La ,Portée particulièrement réduite, quelques dizaines de cm, de la nonne NFC offre avantageusement une protection contre toute tensative de capture des données éch:.,,L :es, particuliéil z pendant l'étai.c critique de transfert --. , Alt- vement il:ut utilisé toute norme de --' ion. Il est ésible sPenv. r une ---' i n Efil, telle Fi' th, Wifi o.. toute n e. Il peut core être envisagé une cs. -éi n filaire, telle par exemple USB. Dans ce cas il est nécessaire de connecter le dispositif de personnalisation 12 avec le module sécurisé 18, par exemple via le terminal mobile 11. Le premier ou le deuxième moyen d'authentification sont réalisés de manière similaire/symétrique, sur le dispositif de personnalisation 12 et sur le module sécurisé 18. Ainsi, côté dispositif de personnalisation 12, est disposée une application « dispositif de personnalisation >> Cette application logicielle est apte à vérifier/authentifier 10 au moins un code de sécurité « module sécurisé » fourni par le module sécurisé 18. De manière symétrique correspondante, côté module sécurisé 18, est disposé, ou produit par le module sécurisé 18, au moins un code de sécurité « module sécurisé » apte à être fourni au dispositif de /5 personnalisation 12. L'application « dispositif de personnalisation » permet au dispositif de personnalisation 12 d'authentifier le module sécurisé 18 et constitue une première partie du premier moyen d'authentification. Le dit au moins un code de sécurité 20 « module sécurisé » fourni par le module sécurisé 18 permet au module sécurisé 18 de se faire authentifier auprès du dispositif de personnalisation 12 et constitue une deuxième partie du premier moyen d'authentification. La dite première partie et la dite deuxième partie sont aptes à communiquer 25 afin de se reconnaître et de valider, ou non, une authentification, ici du module sécurisé 18. De manière symétrique, côté module sécurisé 18, est disposée une application « module sécurisé ». Cette application logicielle est apte à vérifier/authentifier au 30 moins un code de sécurité « dispositif de personnalisation >> fourni par le dispositif de personnalisation 12. De maniè étrique rrespondante, c(î :alisation 12 est disposé, ou -Dnnalisati 12, e moins dispositif de pduit par le dispositif un code de sécurité 35 na: pn » apte à être fourni au L' aL on -1 - le » au "-le sécuris, 8 d'authentifier dispositif d- rsonnaliseetion 12 et constitue une deuxième partie du deuxième moyen d'authentification. Le dit au moins un code de sécurité « dispositif de personnalisation » fourni par le dispositif de personnalisation 12 permet au dispositif de personnalisation 12 de se faire authentifier auprès du module sécurisé 18 et constitue une première partie du deuxième moyen d'authentification. La dite première partie et la dite deuxième partie sont aptes à communiquer afin de se reconnaître et de valider, ou non, une authentification, ici 10 du dispositif de personnalisation 12. Selon un mode de réalisation préférentiel, particulièrement illustré à la figure 2, le code de sécurité module sécurisé », respectivement le code de sécurité dispositif de personnalisation » est produit à partir d'une 15 clé secrète Km, et est vérifiable par l'application « dispositif de personnalisation », respectivement par l'application « module sécurisé ». Cette clé secrète Km, est la partie privée d'une paire asymétrique comprenant une clé privée et une clé publique 20 Km. Cette paire de clés publique/privée est produite par un générateur 19, typiquement maitrisé par l'opérateur de réseau de communication cellulaire 14 qui est aussi typiquement le fournisseur d'abonnement. Afin de pouvoir être utilisable par différents opérateurs 25 autorisés, ce générateur 19 peut être normalisé. En effet, un tel générateur 19 est en charge de produire et distribuer de manière cohérente des secrets partagés entre d'une part le module sécurisé 18 et d'autre part le dispositif de personnalisation 12. -zo Un module sécurisé 18 est typiquement chargé en usine, par son fabricant ou le fabricant de terminal mobile, qui n'est le pl-u: souvent pas lé fournisseur d'ab c:: tif de personnalisation 12, es-: typi: ine, par son L:bricant, qui est, ou tra oo souscontrôle du, fourni, d'abonne:: Une normalisation du gér cnr 19 esu - en ce que la pré --ition ou initial en u l'un module sécuri. 8 est réali que soit connu 1- futur fournisseur d'abonnement. Cette prédisposition, afin d'être compatible avec la prédisposition d'un dispositif de personnalisation 12 issu d'un fournisseur d'abonnement quelconque, doit de préférence être compatible de tous les fournisseurs d'abonnement. Le nombre de générateurs 19 reste limité à quelques sites, ce qui permet de garantir la sécurité des informations critiques qu'il manipule. Selon un mode de réalisation, le dit générateur 19 10 produit ainsi une paire de clés complémentaires communes comprenant une clé privée Km, et une clé publique Km. Le principe d'un algorithme asymétrique repose sur l'utilisation d'une clé publique, qui peut être diffusée et d'une clé privée gardée secrète. Un message codé au moyen de 15 la clé publique ne peut être décodé qu'au moyen de la clé privée, garantissant ainsi la confidentialité du message. Inversement, un message codé au moyen de la clé privée peut être décodé au moyen de la clé publique. Ceci permet en transmettant un message (par ex. une signature) ainsi codé au 20 moyen de la clé privée et le même message en clair, de permettre à un destinataire de réaliser une authentification d'un émetteur au moyen de la clé publique. En revenant à la figure 2, le générateur 19 produit ladite paire de clés complémentaires communes, comprenant une 25 clé privée Km, et une clé publique Kmp . Selon un premier mode de réalisation, cette clé secrète Km, est partagée entre le module sécurisé 18 et le dispositif de personnalisation 12. Aussi le générateur 19 transmet 31, 32 à l'identique cette paire de clés Kmr et Kmp tant au 30 dispositif de personnalisation 12 qu'au module sécurisé 18. Ceci correspond à une phase de prédisposition du dispositif de personnalisation 12 et module sécuri . Cette étape peut avantageuse _nt ,lisé ce e paire ce clés entre l'isé 18 et _cant: , 12. Selon ut deux afir _',4' a sécurité, la cl- rniv Km, pas du r 19. Dans ce le gén 19 tran le cocitT sécurité « module sécurisé » au module sécurisé 18 et le code de sécurité « dispositif de personnalisation » au dispositif de personnalisation 12. Ces deux codes de sécurité sont des signatures obtenues au moyen de la clé privée Km, afin de permettre au dispositif de personnalisation 12 et au module sécurisé 18, tous deux détenteurs de la clé publique Km, de valider ladite signature. Le générateur 19 transmet 31 encore spécifiquement au dispositif de personnalisation 12 un profil d'abonnement 22, 10 comprenant ici un identificateur d'abonnement IMSI et un secret partagé Ki. Cette étape peut n'être connue que du fournisseur d'abonnement concerné. Le générateur 19 transmet 31 encore au dispositif de personnalisation 12, un identificateur de dispositif de 15 personnalisation ICCIDp. Cette étape peut n'être connue que du fournisseur d'abonnement concerné. Le dispositif de personnalisation 12 comprend encore une paire, comprenant une clé privée Kc, et une clé publique Kcp, propre au dit dispositif de personnalisation 12. Cette paire 20 peut être reçue du générateur 19 ou avantageusement être produite par le dispositif de personnalisation 12 lui-même. Le générateur 19 transmet 32 encore au module sécurisé 18, un identificateur de module sécurisé ICCIDd. Cette étape peut n'être connue que du fabricant du module sécurisé 18 25 concerné. Le module sécurisé 18 comprend encore une paire, comprenant une clé privée Kd, et une clé publique Kdp, propre au module sécurisé 18. Cette paire peut être reçue du générateur 19 ou avantageusement être produite par le module 00 sécurisé 18 lui-même. Leur provenance/autTen octe commune étant authen ifiable par la paire de clés cc- Km r et Kmp ainsi reçues, ou par le partage d'une signat-.- le dispositif de personnalisation , 18 peuvent être distribués :tapes 33-35 qui se dulentlong de l phase active de personnalisation, ., un itif de personnalisation 12 et un j_ul,_ -:fourisé 18 compatibles (partageant soit une même paire de clés communes Kmr et Km, soit une signature) se retrouvent sont détaillés plus loin. Un troisième moyen d'authentification permet avantageusement de vérifier que le détenteur d'un dispositif de personnalisation 12 est bien son propriétaire. Le plus souvent, ledit propriétaire est également le propriétaire/utilisateur du terminal mobile 11. Selon un premier mode de réalisation une telle vérification comprend un e observation d'une caractéristique 10 biométrique (empreinte digitale, iris, etc.) du dit détenteur. Ceci est typiquement observé en demandant au détenteur de se soumettre à un enregistrement de ladite caractéristique. Cet enregistrement est typiquement réalisé par un capteur disposé sur ou connecté avec le terminal 15 mobile 11. Le dit enregistrement est ensuite transmis par le terminal mobile 11 au module sécurisé 18. Le module sécurisé 18 transmet le dit enregistrement au dispositif de personnalisation 12, typiquement durant les échanges en phase d'authentification. Ceci permet une comparaison de 20 l'enregistrement réalisé par le terminal mobile 11 avec un enregistrement de référence réalisé avec le propriétaire et stocké dans le dispositif de personnalisation 12. Si la comparaison est positive le détenteur est authentifié et est considéré comme le propriétaire du dispositif de 25 personnalisation 12. Dans le cas contraire l'authentification est un échec. Dans les deux cas, authentification du message informatif peut être réalisation, alternatif ou telle vérification comprend information, réputée connue détenteur réussie ou échouée, un affiché sur le terminal mobile 11 Selon un deuxième mode de 30 complémentaire du précédent, une une demande de fourniture d'une du seul propriétaire. Un exemple code d'identification nnalisation 12, tel un .étai /acheteur lors de ositif de nersonnalisatfréalisé en 4 --Jant information. Cette infcrm. d'une telle information est propre au discsitif de au de l'abonnument et du est typiquement ladite saisie au moyen de l'interface homme machine du terminal mobile 11. Ladite information est ensuite transmise au module sécurisé 18. Le module sécurisé 18 transmet la dite information au dispositif de personnalisation 12, typiquement durant les échanges en phase d'authentification. Ceci permet une comparaison de la dite information obtenue par le terminal mobile 11 avec une information de référence stockée dans le dispositif de personnalisation 12. Si la comparaison est positive le détenteur est authentifié et est considéré être 10 le propriétaire du dispositif de personnalisation 12. Dans le cas contraire l'authentification est un échec. Dans les deux cas, authentification du détenteur réussie ou échouée, un message informatif peut être affiché sur le terminal mobile 11 15 En revenant à la figure 2, va maintenant être décrit un mode de réalisation de la phase active du procédé de personnalisation. Les étapes préparatoires 31, 32 de ce procédé de personnalisation sont supposées préalablement réalisées. Le dispositif de personnalisation 12 et le module 20 sécurisé 18 contiennent les éléments précédemment décrits et ont été diffusés séparément. La phase active ou phase de personnalisation proprement dite débute lorsqu'un dispositif de personnalisation 12 et un module sécurisé 18 compatibles sont mis en communication.

25 Selon le mode de réalisation du moyen de communication 13, cette mise en communication varie. Dans le cas d'un moyen de communication 13 filaire, tel USE, elle peut débuter suite à la connexion du dispositif de personnalisation 12 avec le terminal mobile 11 et/ou avec le module sécurisé 18. Dans le 32 cas d'un mq-,=._ de communication 13 sans fil, tel NFC, elle peut débuter dès que dispositif de personnalisation 12 et le mod-:,lsécurisé 18 sont aptes à cc=iquer, soit dès qu'ile eeis la portée l'un de 'aut:- :icati active. mutuelle d,, t. Selon de réalisation, le dispositif de personnalisation 12 envoie au module sécurisé 18, à l'étape 33, un message en clair et le même message crypté en utilisant la clé privée commune Km,. Le dit message peut par exemple être son propre identifiant ICCID,. Ici selon le mode de réalisation, soit le dispositif de personnalisation 12 est en possession de la clé privée Km, et réalise le cryptage Kmr(ICCID,), soit le dispositif de personnalisation 12 n'est pas en possession de la clé privée Kmr, et dans ce cas il a reçu en usine une signature/code de sécurité « dispositif de /0 personnalisation >> qui est Km,(ICCIDc). Ainsi, le module sécurisé 18, qui détient la clé publique commune correspondante Km, peut décrypter le message crypté Kmr(ICCID,), le comparer au message en clair ICCID, et ainsi vérifier, ou non, que le dispositif de personnalisation 12 /5 est bien détenteur de la clé privée Kmr ou d'une signature/code de sécurité obtenue au moyen de cette clé privée Kmr et ainsi présumer que le dit dispositif de personnalisation 12 est bien authentique. Ce décryptage et cette comparaison sont typiquement réalisés par l'application 20 « module sécurisé » implémentée sur le module sécurisé 18. Au cours de cette étape 33, le dispositif de personnalisation 12 transmet encore au module sécurisé 18 une clé publique Kcp de sa paire de clés propres Kor, Kcp. Lors de l'étape 34, qui peut être antérieure, postérieure 25 ou simultanée à l'étape 33, le module sécurisé 18 envoie au dispositif de personnalisation 12, un message en clair et le même message crypté en utilisant la clé privée commune Kmr. Le dit message peut par exemple être son propre identifiant ICCIDd. Ici selon le mode de réalisation, soit le module 30 sécurisé 18 est en possession de la clé privée Km, et réalise le cryptage Km,(ICCIDd), soit le module sécurisé 18 n'est pas possession de la clé privée Km, -t dans ce cas il a reçu csine une signature/code de sécurité « module sécurisé j_ est Kmr(ICCIDd). Ainsi, le dispositi± nlisation 12, qui détient cl_ jue commune WT/1 ----rypter le _age ipté Kmr(ICC1- cn clair I1CIDd et ainsi vérifier, ou non, -curisé 18 est bien détenteur de la clé privée Km, ou d'une signature/code de sécurité obtenue au moyen de cette clé privée Km, et ainsi présumer que le dit module sécurisé 18 est bien authentique. Ce décryptage et cette comparaison sont typiquement réalisés par l'application « dispositif de personnalisation » implémentée sur le dispositif de personnalisation 12. Au cours de cette étape 34, le module sécurisé 18 transmet encore au dispositif de personnalisation 12 une clé 10 publique Kdp de sa paire de clés propres Kdr, Kdp. Si un troisième moyen d'authentification visant à authentifier le propriétaire du dispositif de personnalisation 12 est employé, le module sécurisé 18 transmet encore au dispositif de personnalisation 12, au /5 cours de cette étape 34, les informations nécessaires, telle par exemple ici le code PIN, saisi par le détenteur sur le terminal mobile 11, afin de comparaison avec le code PIN du dispositif de personnalisation 12 stocké dans son moyen de stockage 21.

20 Si les deux (le cas échéant trois) authentifications sont valides, il peut être procédé à l'étape de transfert 35 du profil d'abonnement 22. Pour ceci, le dispositif de personnalisation 12 transmet 35, le profil d'abonnement 22, figuré ici par un identifiant IMSI et un code secret Ki 25 associé. De manière optionnelle, pour plus de sécurité, ce profil d'abonnement 22 peut être crypté. De manière avantageuse, ce cryptage est réalisé au moyen de la clé publique Kdp de la paire de clés Kd, Kdp propre au module sécurisé 18 et 30 précédemment transmise lors de l'étape 34. Ainsi, le message Kdr(IMSI, Ki) transmis à l'étape 35 est garanti de ne pouvoir être décrypté que par un détnteur de la clé privée correspondante Kd, soit uni- par le module sécurisé 18, seul :eur desc..te pivée Kd, r.: un terminal mobile 11, du type apte à se conne i - unication -11ulai-e 14. Un tel -,--: un module -.:Y.:,risé 18, un moyen de cor=uni ::,tion 13 ev.. e dispositif de personnalisation 12, un premier moyen d'authentification du module sécurisé 18 auprès du dit dispositif de personnalisation 12, un deuxième moyen d'authentification du dit dispositif de personnalisation 12 auprès du module sécurisé 18, un moyen de réception apte à recevoir un profil d'abonnement 22 depuis le dispositif de personnalisation 12 et à le mettre en place dans le module sécurisé 18, si les moyens d'authentification sont validés. Le module sécurisé 18 du dit terminal mobile 11 comprend, 10 de manière symétrique à ce qui a été décrit précédemment pour le dispositif de personnalisation 12, une deuxième partie d'un premier moyen d'authentification qui comprend au moins un code de sécurité « module sécurisé ». Ce code de sécurité « module sécurisé » est apte à être vérifié par une 15 application « dispositif de personnalisation » implémentée dans le dispositif de personnalisation 12 et constitue une première partie du dit premier moyen d'authentification. Le module sécurisé 18 du dit terminal mobile 11 comprend encore, de manière symétrique à ce qui a été décrit 20 précédemment pour le dispositif de personnalisation 12, une deuxième partie d'un deuxième moyen d'authentification qui comprend une application « module sécurisé » apte à vérifier au moins un code de sécurité « dispositif de personnalisation » fourni par le dispositif de 25 personnalisation 12 et qui constitue une première partie du dit deuxième moyen d'authentification Selon une caractéristique optionnelle, le terminal mobile 11 peut encore comprendre un moyen de transfert de données depuis le terminal mobile 11 vers le dispositif de 30 personnalisation 12. Ainsi par exemple il peut être avantageux de transférer un code tel le code PIN préalablement L-.1.sé dans le dispositif de personnalisation et uisi sur le te - 1 mobile 11 pour authentification *-Staire du Ltif de perso ion 12. Ce 35 peut -e de manière à pour tre:sférer le profil a'abonnement 22 selon l'n ion. L'invention concerL encore un procédé de personnalisation pour un terminal mobile 11 comprenant un module sécurisé 18, au moyen d'un dispositif de personnalisation 12 comprenant les étapes suivantes : - mise en communication du module sécurisé 18 et du dispositif de personnalisation 12, authentification 34 du module sécurisé 18 par le dispositif de personnalisation 12, - authentification 33 du dispositif de personnalisation 12 par le module sécurisé 18, 10 - si les authentifications sont positives, transfert 35 d'un profil d'abonnement 22 stocké dans le dispositif de personnalisation 12 vers le module sécurisé 18. Ce procédé comprend avantageusement une étape d'authentification du propriétaire du dispositif de /5 personnalisation, préalable au transfert. Cette étape d'authentification du propriétaire peut comprendre une transmission depuis le terminal mobile vers le dispositif de personnalisation d'un code d'identification personnel du dit propriétaire.

20 Dans ce procédé l'étape de transfert 35 est avantageusement réalisée de manière cryptée au moyen d'un moyen de cryptage Kdp, Kdr maitrisé par le module sécurisé 18. Ceci a été décrit précédemment par l'utilisation d'une paire de clés asymétriques Kdp, Kdr dont la clé privée Kdr 25 reste sous le contrôle et la maîtrise exclusive du module sécurisé 18. L'invention concerne encore un système de diffusion d'un profil d'abonnement 22 pour un module sécurisé 18. Ce système, qui est en charge de la préparation de tous les jO éléments nécessaire à la réalisation du précédent procédé, comprend au moins un disoositif de personnalisation 12 du type de ceux décrit préc.;. Le système de d''- encore un teur 19 de profil d'abonn - teur 19 est apte à produire 22. De ce profil d'abonr., une copie âtre - sur le positif de personnalise i7 de ce cfil d'abonnement est transmise au de communication cellulaire 14 pour être stockée, par exemple auprès d'un module d'authentification AuC du dit réseau 14. Les dites deux copies 22, 17 sont aptes à se reconnaitre, afin de permettre à un terminal mobile 11 porteur u dit module sécurisé 18 de se connecter au réseau de communication cellulaire 14. Le système de diffusion comprend encore un générateur 19 de premier moyen d'authentification apte à produire un premier moyen d'authentification. Ce premier moyen /0 d'authentification comprend une première partie apte à être stockée sur le dispositif de personnalisation 12, et une deuxième partie apte à être stockée sur le module sécurisé 18, les deux parties étant aptes à se reconnaitre afin de permettre au dispositif de personnalisation 12 d'authentifier 15 34 le module sécurisé 18. Ainsi dans l'exemple supporté par la figure 2, le premier moyen d'authentification comprend en première partie une application « dispositif de personnalisation » et en deuxième partie un code fourni par le module sécurisé 18 comprenant un 20 message ICCIDd en clair et le même message km, (ICCIDd) crypté au moyen d'une clé privée commune partagée Kmr. La dite application « dispositif de personnalisation » est apte à vérifier, au moyen de la clé publique commune correspondante Km, la validité du code de la deuxième partie.

25 Le système de diffusion comprend encore un générateur 19 de deuxième moyen d'authentification apte à produire un deuxième moyen d'authentification. Ce deuxième moyen d'authentification comprend une première partie apte à être stockée sur le dispositif de personnalisation 12, et une 0 deuxième partie apte à être stockée sur le module sécurisé 18, les deux parties étant aptes à se reconnaitre afin de pe=ettre au module isé 18 d'aut. fier 33 le f de personnal_ 12. , la figure 2, le d'au i:n oompL_nd en nremière partie stif d- 12 mp:. - E ":Ttr (ICCID,) moyen d'une clé privée Jgée Km, et en deuxième partie une application « module sécurisé ». La dite application « module sécurisé » est apte à vérifier, au moyen de la clé publique commune correspondante Km, la validité du code de la première 5 partie. Il peut être noté que le dispositif de personnalisation 12 et particulièrement son moyen de stockage 21 n'est pas nécessairement effacé lorsque que le profil d'abonnement 22 est transféré 35 vers le module sécurisé 18. Aussi, 10 avantageusement, un dispositif de personnalisation 12 peut être utilisé plusieurs fois, afin de personnaliser plusieurs modules sécurisé 18 / terminaux mobile 11, typiquement appartenant à un même utilisateur.

Claims

REVENDICATIONS1. Dispositif de personnalisation (12) pour un module sécurisé (18) caractérisé en ce qu'il comprend : un moyen de stockage (21) apte à stocker un profil d'abonnement (22) pour un réseau de communication cellulaire (14), ledit profil d'abonnement (22) contenant les moyens nécessaires à une authentification d'un terminal mobile (11) 10 porteur du dit module sécurisé (18) préalable à l'établissement d'une connexion au dit réseau de communication cellulaire (14), - un moyen de communication (13) avec le dit module sécurisé (18), 15 - un premier moyen d'authentification dudit module sécurisé (18) auprès du dispositif de personnalisation (12), un deuxième moyen d'authentification du dispositif de personnalisation (12) auprès du dit module sécurisé (18), un moyen de transfert apte à transférer ledit profil 20 d'abonnement (22) vers le module sécurisé (18), si les moyens d'authentification sont validés.
2. Dispositif selon la revendication 1, comprenant encore un troisième moyen d'authentification du propriétaire du dispositif de personnalisation (12).
3. Dispositif selon l'une quelconque des revendications 1 à 2, où le moyen de stockage (21) est une carte mémoire intelligente et sécurisée. 30
4. Dispositif selon l'une quelconque des revendications 1 à 3, où le réseau de rication cellulaire (14) utilise la no=e GSM et où li ru u fil d'- (22) cimp un 4 -ificateur d'ai 35 (Ki'.
5. Dispositif selon l'un- oonque de: 1 à 4, où le moyen de communie ion 13) utili la n me decommunication sans fil NFC.
6. Dispositif selon l'une quelconque des revendications 1 à 5, où le premier moyen d'authentification comprend une application « dispositif de personnalisation » apte à vérifier au moins un code de sécurité « module sécurisé >> fourni par le module sécurisé (18).
7. Dispositif selon la revendication 6, où le code de 10 sécurité « module sécurisé » est produit à partir d'une clé secrète (Kmr) et est vérifiable par l'application dispositif de personnalisation >>.
8. Dispositif selon l'une quelconque des revendications 1 à /5 7, où le deuxième moyen d'authentification comprend au moins un code de sécurité « dispositif de personnalisation » apte à être vérifié par une application « module sécurisé » implémentée dans le module sécurisé (18). 20
9. Dispositif selon la revendication 8, où le code de sécurité « dispositif de personnalisation » est produit à partir d'une clé secrète (Kmr) et est vérifiable par l'application « module sécurisé ». 25
10. Dispositif selon l'une quelconque des revendications 2 à 9, où le troisième moyen d'authentification comprend un moyen de vérification d'un code (PIN) du dispositif de personnalisation (12).
11. Terminal mobile (11), du type apte à se connecter à un réseau de communication cellulaire (14), caractérisé en ce qu'il comprend : - un moduln (18), - un avec un de 3! tion ( . , - un pi±i moyen d'authentfiction du module sécurisé (18) auprès du dit dispositif d- ---:-,1'- -.' n (12), - un deuxième moyen d'authE.:1tr3ication du dit dispositif depersonnalisation (12) auprès du module sécurisé (18), - un moyen de réception apte à recevoir un profil d'abonnement (22) depuis le dispositif de personnalisation (12) et à le mettre en place dans le module sécurisé (18), si les moyens d'authentification sont validés.
12. Terminal selon la revendication 11, où le premier moyen d'authentification comprend au moins un code de sécurité « module sécurisé » apte à être vérifié par une application 10 « dispositif de personnalisation » implémentée dans le dispositif de personnalisation (12).
13. Terminal selon l'une quelconque des revendications 11 à 12, où le deuxième moyen d'authentification comprend une 15 application « module sécurisé » apte à vérifier au moins un code de sécurité « dispositif de personnalisation >> fourni par le dispositif de personnalisation (12).
14. Terminal selon l'une quelconque des revendications 11 à 20 13, comprenant encore un moyen de transfert d'un code (PIN) du terminal mobile (11) vers le dispositif de personnalisation (12).
15. Procédé de personnalisation d'un module sécurisé (18), 25 au moyen d'un dispositif de personnalisation (12), caractérisé en ce qu'il comprend les étapes suivantes - mise en communication du module sécurisé (18) et du dispositif de personnalisation (12), authentification (34) du module sécurisé (18) par le 30 dispositif de personnalisation (12), authentification (33) ±, dispos personnalisation par le module sécui-1 (18), si les authenti c& sont , I- (35) d'un -;..rofil d'abonn (22) IP. , if de 35 pe lisation :ers _isé (18).
16. Pr- se on la iicaticn 15, une -tape, pcéalable au trTnsfert (35), d' u-("Ientific. ion dupropriétaire du dispositif de personnalisation (12).
17. Procédé selon la revendication 16, où l'étape d'authentification du propriétaire comprend une transmission depuis le terminal mobile (11) vers le dispositif de personnalisation (12) d'un code d'identification personnel du dit propriétaire.
18. Procédé selon l'une quelconque des revendications 15 à 10 17, où l'étape de transfert (35) est réalisée de manière cryptée au moyen d'un moyen de cryptage (Kd, Kdp) maitrisé par le module sécurisé (18).
19. Système de diffusion d'un profil d'abonnement (22) vers 15 un module sécurisé (18), caractérisé en ce qu'il comprend : - un dispositif de personnalisation (12), - un générateur de profil d'abonnement (19) apte à produire un profil d'abonnement (22), dont une copie (22) est apte à être stockée sur le dispositif de personnalisation (12), et 20 une copie (17) est apte à être stockée dans un réseau de communication cellulaire (14), lesdites deux copies (22, 17) étant aptes à se reconnaitre, afin de permettre à terminal mobile (11) porteur du module sécurisé (18) de se connecter au réseau de communication cellulaire (14), 25 - un générateur de premier moyen d'authentification (19) apte à produire un premier moyen d'authentification comprenant une première partie apte à être stockée sur le dispositif de personnalisation (12), et une deuxième partie apte à être stockée sur le module sécurisé (18), les deux parties étant 30 aptes à se reconnaitre afin de permettre au dispositif de personnalisation (12) d'authentifier (34) le module sécurisé (18), d'is ification ( apte ication -nant sur le module .artie apte à être stockée sur dispositif dc. parties étant aptes à se , afin de permettre au modulesécurisé (18) d'authentifier (33) le dispositif de personnalisation (12).