FR2994048A1

FR2994048A1 - Procede de personnalisation pour module securise et emballage de vente adapte

Info

Publication number: FR2994048A1
Application number: FR1257184A
Authority: FR
Inventors: Cedric Collomb; Xavier Drillon
Original assignee: Oberthur Technologies SA
Current assignee: Idemia France SAS
Priority date: 2012-07-24
Filing date: 2012-07-24
Publication date: 2014-01-31

Abstract

Procédé de personnalisation d'un module sécurisé (1) par un dispositif de personnalisation (2), comprenant les étapes suivantes : mise en communication du module sécurisé (1) et du dispositif de personnalisation (2) par un moyen de communication (3) entre le dispositif de personnalisation (2) et le dit module sécurisé (1), transfert depuis le dispositif de personnalisation (2) vers le dit module sécurisé (1) d'un profil d'abonnement (6) contenant les moyens nécessaires à une authentification d'un terminal mobile (7) associé au dit module sécurisé (1) auprès d'un réseau de communication cellulaire (8), le moyen de communication (3) étant sans contact à champ proche. Emballage de vente (9) adapté au dit procédé.

Description

La présente invention concerne un procédé de personnalisation d'un module sécurisé par un dispositif de personnalisation. Ladite personnalisation consiste à transmettre un profil d'abonnement. Un tel profil d'abonnement est destiné à permettre à un terminal mobile associé au dit module sécurisé de s'authentifier auprès d'un opérateur de réseau de communication cellulaire, par exemple celui ayant délivré le dit abonnement, afin de se connecter au dit réseau de communication cellulaire. 10 Le contenu d'un tel profil d'abonnement peut dépendre du protocole du réseau de communication cellulaire, mais comprend typiquement au moins un identifiant de l'abonnement et un secret partagé, telle une clé cryptographique, associée au dit identifiant de l'abonnement. /5 Un profil d'abonnement est partagé entre un terminal mobile, et un réseau de communication cellulaire qui le conserve typiquement au sein d'un module d'authentification. Un tel module d'authentification est en charge de vérifier qu'un terminal mobile muni d'un abonnement, lorsqu'ils se 20 présentent pour établir une connexion avec le réseau de communication cellulaire, sont autorisés à se connecter. La procédure d'authentification a pour objet, pour chacune des entités parmi le réseau de communication cellulaire et le terminal mobile de vérifier que l'autre entité est détentrice 25 du secret partagé. La procédure d'authentification évite de transmettre, par quelque moyen, le dit secret partagé, entre les deux entités. Selon l'art antérieur un profil d'abonnement est créé en usine. Une copie de ce profil d'abonnement est communiquée au 30 seau de communication cellulaire via une connexion curisée avec le module d'authentification. En parallèle, une copie de ce profil - rte intell sécc ' UIC( ab -. -ent. Elle peut sur une intelligente à un ofil Une lr-rs de In -,:ente d'un - terminal disposant d'un lecteur apte uer avec une telle carte UICC. Le profil d'abonnement se trouve ainsi disposé dans un terminal mobile et peut être utilisé, via les capacités de traitement et de communication d'une carte UICC, pour la procédure d'authentification. Il est à noter ici que le secret partagé, au cours d'une authentification, reste sur la carte UICC, et n'est pas communiqué, pas même au terminal mobile. Il est à noter encore que, par ce biais d'un transport physique sous forme d'une carte intelligente sécurisée, il 10 est possible de placer un profil d'abonnement dans un terminal mobile sans que le contenu de ce profil d'abonnement, et plus particulièrement le secret partagé, ne transite par un réseau. Il est apparu depuis peu, des cartes UICC enfouies, sous 15 forme de composant, dénommé e-UICC (UICC enfoui ou en anglais : embedded UICC). Un tel composant e-UICC est en charge de toutes les fonctions jusqu'ici réalisées par une carte UICC, mais est réalisé sous forme d'un composant soudé sur un circuit imprimé du terminal mobile qui le rend ainsi 20 en pratique solidaire du dit terminal mobile. Le principal avantage est de réaliser un gain de volume, en supprimant le lecteur. Il serait possible de transférer de manière sécurisée en usine un profil d'abonnement sur un tel composant e-UICC. 25 Cependant une telle procédure correspond peu à la réalité actuelle où les fabricants de terminaux mobiles ne sont généralement pas les opérateurs de réseau de communication cellulaire, fournisseurs d'abonnements. De plus une telle procédure, nécessitant un retour en usine n'est pas adaptée 30 aux exigences des utilisateurs qui souhaitent notamment pouvoir changer d'opérateur de réseau de communication cellulaire. Afin de ne çu. créer dépen p riudiciabl entre fabricant -; tout e: à un son _es aboi__ de prcser i moyen ... «. .ert nt depuis un opérateur de :u de :unication re fournisseur d'abonnement, vers un composant e-UICC, monté sur un terminal mobile de manière inamovible, ou encore vers une carte UICC amovible. Avantageusement une telle personnalisation doit pouvoir être réalisée le plus tard possible, soit typiquement lorsque le client final signe un contrat d'abonnement et/ou prend possession de son achat en boutique ou sur le site d'exploitation du terminal. Pour cela l'invention a pour objet un procédé de 10 personnalisation d'un module sécurisé par un dispositif de personnalisation, comprenant les étapes suivantes : mise en communication du module sécurisé et du dispositif de personnalisation par un moyen de communication entre le dispositif de personnalisation et le dit module sécurisé, /5 transfert depuis le dispositif de personnalisation vers le dit module sécurisé d'un profil d'abonnement contenant les moyens nécessaires à une authentification d'un terminal mobile associé au dit module sécurisé auprès d'un réseau de communication cellulaire, où le moyen de communication est 20 sans contact à champ proche. Selon une autre caractéristique de l'invention, le moyen de communication présente une portée inférieure à dix centimètres. Selon une autre caractéristique de l'invention, le moyen 25 de communication utilise la norme de communication sans contact NEC. Selon une autre caractéristique de l'invention, le procédé de personnalisation est réalisé, le module sécurisé étant placé dans le terminal mobile. 30 Selon une autre caractéristique de l'invention, le module sécurisé est apte à être alimenté en énergie et fonctionne en mode lecteur. Sel= une autre caractéristi -tes_ alimen Selon au caractéristique He tinve: sécurisé -r -rs intel7 Selon s,u-rs éristique l'invE .. Oion, le module lé modulé sécurisé est une carte SIM/UICC insérable de manière amovible dans le terminal mobile ou un module eUICC solidaire du terminal mobile. Selon une autre caractéristique de l'invention, le dispositif de personnalisation comprend une borne informatique associée à un transmetteur sans contact à champ proche compatible d'un transmetteur homologue associé au moyen sécurisé. Selon une autre caractéristique de l'invention, le 10 dispositif de personnalisation comprend un dispositif portatif comprenant un moyen mémoire intelligent et sécurisé associé à un transmetteur sans contact à champ proche compatible d'un transmetteur homologue associé au moyen sécurisé. /5 Selon une autre caractéristique de l'invention, les étapes de la mise en communication du module sécurisé (1) et du dispositif de personnalisation et du transfert sont exécutées lorsque le module sécurisé est dans un emballage de vente tel que décrit ci-après. 20 L'invention concerne donc encore un emballage de vente pour un module sécurisé ou pour un terminal mobile comprenant un module sécurisé, le dit emballage étant conformé pour accueillir ledit module sécurisé ou ledit terminal mobile disposé au plus près de sa paroi et directement contre la 25 dite paroi. Selon une autre caractéristique de l'invention, le dit emballage comprend encore, au moins au droit du module sécurisé, une fenêtre transparente à un moyen de communication sans contact à champ proche, permettant une 30 mise en communication du dit module sécurisé et d'un dispositif de personnalisation. Selon une autre oaractéris --e de l'inventi, dit emballage comprend un vi la position le positi de au modul, Selon autre caractis`'- l'invention, le dit emballage e une f d'une forme du dispositif de personnalisation, afin de faciliter le positionnement du dispositif de personnalisation relativement au module sécurisé. Selon une autre caractéristique de l'invention, le dit 5 emballage comprend encore un moyen de commande d'un moyen d'alimentation en énergie du module sécurisé. D'autres caractéristiques, détails et avantages de l'invention ressortiront plus clairement de la description détaillée donnée ci-après à titre indicatif en relation avec 10 des dessins sur lesquels : la figure 1 illustre un environnement typique de l'invention, la figure 2 présente un mode de réalisation d'un emballage de vente et son interface avec un dispositif de /5 personnalisation, en vue coupée. Selon la figure 1, un réseau de communication cellulaire 8 est figuré par un serveur 20 de coeur de réseau et une cellule 21. Cette cellule 21 couvre une zone géographique au moyen d'une liaison de communication radio 22 qui permet à 20 des terminaux mobiles, tels le terminal mobile 7, présents dans ladite zone géographique de se connecter au réseau de communication cellulaire 8 afin d'utiliser ses services. Lorsqu'un terminal mobile 7 se connecte à un tel réseau de communication cellulaire 8, le dit terminal mobile 7 doit 25 être en possession d'un profil d'abonnement 6. Un tel profil d'abonnement 6 est fourni par un opérateur de réseau de communication cellulaire 8. Une copie 23 d'un tel profil d'abonnement 6 est par ailleurs conservée par ledit opérateur et est stockée, par exemple, dans le serveur 20 de coeur de 30 réseau. Lorsqu'un terminal mobile 7 tente d'établir une connexion au réseau de communication cellulaire 8, il contacte ledit réseau mobile 7 est alors ' _oati - Le termiral un situ.1 .1: serveur é- r- entre le ont c0r.r obj 9 via une cellule 21. relation 7 est en pc _on d'un profil d' :3imilire à un profil d'abonnement 23 stocké au sein du réseau de communication cellulaire 8. Ces messages échangés sont typiquement en mesure de faire la preuve que la copie de profil d'abonnement 6 en possession du terminal mobile 7 comprend un secret partagé présent aussi dans la copie de profil d'abonnement 23 en possession du réseau 8. Avantageusement cette preuve est réalisée sans pour autant que ce secret partagé ne soit effectivement échangé entre les deux entités. Dans le cas illustratif d'un réseau de communication 10 cellulaire 8 selon un protocole GSM, un profil d'abonnement 6, 23 comprend un identificateur d'abonnement et un secret partagé. L'identificateur d'abonnement est un numéro nommé IMSI, de l'anglais : International Mobile Subscriber Identity, signifiant identité internationale d'abonnement 15 mobile, qui permet d'identifier de manière unique un abonnement. Le secret partagé est une clé cryptographique nommée Ki. Un profil d'abonnement 6, 23 comprend au moins un numéro IMSI et un secret partagé Ki. Lorsqu'un terminal mobile 7 tente de se connecter au 20 réseau de communication cellulaire 8, le module d'authentification, nommé AuC pour le GSM, produit un nombre aléatoire nommé RAND. Deux algorithmes de cryptage, par exemple A3 et A8, pour citer des algorithmes classiquement utilisés, sont utilisés pour crypter RAND au moyen de la clé 25 cryptographique Ki, et obtenir deux autres nombres : une réponse signée SRES = A3(Ki, RAND) et une clé de session Kc = A8(Ki, RAND). Les nombres (RAND, SRES, Kc) forme ce qui est communément appelé le triplet. En réponse à une demande d'authentification, il est 30 renvoyé au terminal mobile 7 le nombre RAND. Le terminal :bile 7, qui dispose de Ki et de l'algorithme A3, reproduit SRh.S en appliquant l'algoriuh- pour crypt moyen de la - de cryptage Ki. Ce 5511.est renvo-. qui lui mit par 3! 1. S'ils prouve elle est en posr de Ki et que son valide. 7 est alors auto:: se connecter au - .-,11 de comeueiication cellulaire 8. Ensuite, le terminal mobile 7, qui dispose de Ki et de l'algorithme A8, reproduit Kc en appliquant l'algorithme A8 pour crypter RAND au moyen de la clé de cryptage Ki. Cette clé de session Kc, ainsi partagée entre le terminal mobile 7 et le réseau 8, est utilisée pour crypter les contenus échangés durant une session de communication ouverte suite â la procédure d'authentification. La solution de l'art antérieur de stocker de manière sûre 10 en usine une copie du profil d'abonnement 6, 23 sur une carte USIM ou UICC qui peut ensuite être insérée dans un terminal mobile 7 n'est plus suffisante aujourd'hui où l'on souhaite pouvoir personnaliser un module sécurisé 1, le cas échéant inamovible, hors de l'usine. Cette personnalisation doit /5 permettre de transférer un profil d'abonnement 6 vers un module sécurisé 1, y compris inséré/intégré dans un terminal mobile 7 Le dit module sécurisé 1 peut être un composant UICC enfoui ou e-UICC, intégré au terminal mobile 7 de manière non 20 démontable. Il peut encore s'agir d'un module UICC classique de type carte UICC ou USIM amovible. Avantageusement la personnalisation doit pouvoir être réalisée le plus tard possible dans la chaîne de distribution du terminal mobile 7 et de son profil d'abonnement 6, et par 25 conséquent hors usine. La personnalisation consiste à transférer un profil d'abonnement 6, 23 vers un module sécurisé 1, soit pour fournir un premier abonnement à un module sécurisé 1 encore vierge, soit pour fournir un nouvel abonnement venant 30 remplacer ou s'ajouter à un ou plusieurs abonnements déjà présents. Afin de réaliser une peconnalisation d'u module uend ava.n7 un ie isation :el 'un 2 di_i 6, est typiqu- à un Je ,..ommunic,. _Lui' cellulaire 8. Pour ce 8, le profil d'abonnement 6, 23 comprend les moyens n, à une authentification d'un module sécurisé 1 et donc d'un terminal mobile 7 portant le dit module sécurisé 1, auprès du dit réseau 8. La dite authentification est le plus souvent un préalable à un établissement d'une connexion au dit réseau de communication cellulaire 8. Le profil d'abonnement 6, 23 ainsi stocké dans le dispositif de personnalisation 2 est le profil d'abonnement 6, 23 destiné à être transféré vers le module sécurisé 1. Le profil d'abonnement 6, 23 peut être introduit dans le 10 dispositif de personnalisation 2 en usine chez l'opérateur du réseau / fournisseur d'abonnement, avec ainsi toutes les garanties de sécurité et d'intégrité. Il peut aussi être transféré de manière sécurisé par transmission au moyen d'un réseau de manière sécurisée. Ceci est avantageusement le cas 15 lorsque le dispositif de personnalisation 2 est disposé dans un point de vente, chez un concessionnaire. Le transfert sécurisé depuis l'opérateur du réseau / fournisseur d'abonnement, vers le dispositif de personnalisation 2 est hors du champ de protection recherché. 20 Le procédé de personnalisation utilise encore un moyen de communication 3 entre le dispositif de personnalisation 2 et le module sécurisé 1. Ce moyen de communication 3 est utile au transfert du profil d'abonnement 6, 23 depuis le dispositif de personnalisation 2 vers le module sécurisé 1. Le moyen de communication 3 comprend typiquement un premier transmetteur 4 associé au module sécurisé 1 et un second transmetteur 5 associé au dispositif de personnalisation 2. Ces deux transmetteurs 4, 5 sont homologues et aptes à s'échanger des informations. Avantageusement, le moyen de communication 3 permet une r:c=nication directe, sans intermédiaire, entre les deux transmetteurs 4, 5 et ainsi directement entre itif de 1)ersonnalisation et le module sécurisé la .Icati.:n ne t .enite age- le '.le 7, ni p,. lulaire Ainsi, il ulus sec la isansmission. Ceci est parLisuliéss lors 1 ' di de transfert où sont trsi données sensibles, tel que le contenu du profil d'abonnement 6, 23. Alternativement, notamment si le module sécurisé 1 ne comporte pas lui-même de moyen de communication, la communication 3 peut être indirecte et transiter par un composant relais, par exemple disposé dans le terminal mobile 7. Le procédé de personnalisation d'un module sécurisé 1 par un dispositif de personnalisation 2, comprend typiquement les étapes suivantes. Une première étape consiste en une mise en 10 communication du module sécurisé 1 et du dispositif de personnalisation 2. Le moyen de communication 3 étant sans contact, cette étape consiste le plus souvent à disposer le transmetteur 4 associé au module sécurisé 1 et le transmetteur 5 homologue associé au dispositif de /5 personnalisation 2 à une distance compatible de la portée du moyen de communication 3. Une fois cette communication établie, il peut être procédé à l'étape de transfert, depuis le dispositif de personnalisation 2 vers le dit module sécurisé 1 d'un profil d'abonnement 6. Ce profil d'abonnement 20 6 est tel qu'il contient les moyens nécessaires à un terminal mobile 7 associé au dit module sécurisé 1 pour s'authentifier auprès d'un réseau de communication cellulaire 8, afin d'établir une communication. Une étape optionnelle d'authentification du dispositif de 25 personnalisation 2 auprès du module sécurisé 1 et/ou du module sécurisé 1 auprès du dispositif de personnalisation 2, est le plus souvent réalisée entre ces deux étapes. Une étape optionnelle peut être prévue pour bloquer la personnalisation une fois que le module sécurisé a été 30 personnalisé. Par exemple le module sécurisé peut comprendre des moyens permettant l'écrin- de nouvelles données dans la _e mér7toire contenant les de ion, par - un dr- 'état du mc risé ou par un 4tur seu_ cime pro: module sécuris- urvice sécurise Une telle on :ert est, selon l'art antérieur, réalisée en usine le plus souvent en connectant par un moyen de communication à contact le module sécurisé 1 seul avec un outillage s'apparentant à un dispositif de personnalisation. La différence selon l'invention est que le procédé est réalisé au moyen d'un moyen de communication 3 sans contact à champ proche. Ceci permet avantageusement de réaliser la personnalisation d'un module sécurisé 1 très tardivement dans /0 la chaîne de distribution d'un terminal mobile 7 et d'un abonnement 6, 23. L'absence de contact permet de réaliser le procédé de personnalisation, le module sécurisé 1 étant placé dans le terminal mobile 7 15 De plus l'absence de contact permet avantageusement de personnaliser un module sécurisé 1 sans l'extraire de son emballage de vente 9 ou encore un module sécurisé 1 disposé dans un terminal mobile 7, l'ensemble étant dans son emballage de vente 9, sans ouvrir ledit emballage de vente 9. 20 Selon un mode de réalisation préférentiel, le moyen de communication 3 sans contact à champ proche utilise la norme de communication sans fil NEC (de l'anglais Near Field Communication : communication à champ proche). Selon la norme NEC une communication peut être établie entre le module 25 sécurisé et un dispositif de personnalisation dans une portée de l'ordre de quelques millimètres à environ dix centimètres maximum. Au-delà de cette dernière distance il n'est pas possible d'établir une communication. La proximité requise et la restriction de communication entre deux dispositif apporte 30 une protection contre une attaque de tiers. Le moyen de communication 2 comprend une partie nsmetteur (émett àur) T liTeau dispositif de .nalisatîon 2 ur 4 similaire ciTe et de préférence risé 1. A défaut le terminal mobile 7 ut sécurisée 1. deux teurs 4, 5 :;ont ap à communiquer selon la norme NFC. Alternativement il peut être utilisé toute norme de communication. Il est possible d'envisager une autre communication sans contact, telle BlueTooth, Wifi ou toute autre norme équivalente. Une portée réduite, de l'ordre de quelques dizaines de cm, offre avantageusement une protection contre toute tentative de capture des données échangées, particulièrement pendant l'étape critique de transfert. 10 Afin de mettre en oeuvre le procédé, il est envisageable au moins deux modes de fonctionnement du module sécurisé 1. Selon un premier mode de fonctionnement, il est fourni une alimentation en énergie au module sécurisé 1. Dans ce cas le module sécurisé 1 fonctionne de manière nominale et active 15 et dispose de toutes ses fonctions de traitement, de stockage et de transmission. On nomme ce mode de fonctionnement mode lecteur. Le module sécurisé 1 est alors actif et capable de lire et d'écrire une mémoire du dispositif de personnalisation 2. Cependant une tel mode de fonctionnement 20 peut s'avérer problématique lorsque le module sécurisé 1, et le cas échéant le terminal mobile 7, est/sont dans un emballage de vente 9, pour une durée de stockage pouvant être longue relativement à la durée de tenue de charge d'une batterie. 25 Selon un deuxième mode de fonctionnement, il n'est pas fourni une alimentation en énergie au module sécurisé 1, parce que cela n'est pas possible ou pas souhaitable. Ceci simplifie la mise en oeuvre d'un module sécurisé 1, et le cas échéant d'un terminal mobile 7, dans un emballage de vente 9. 30 Dans ce cas le module sécurisé 1 fonctionne de manière passive. Il peut être lu/écrit par un lecteur sans contact, qui lui fournit alors i-duction électrique :risée est mode alors -:arte carte. Le lu le ciispositif de n un mode de isation avant le module sécurisé 1 comprend un moyen mémoire intelligent et sécurisé. Un tel moyen est dit intelligent (smart en anglais) en ce qu'il dispose d'une capacité de traitement de l'information. Il est dit sécurisé en ce qu'il permet une protection des données qu'il stocke contre toute tentative d'accès non autorisé. Un tel moyen intelligent et sécurisé peut être une carte à microcircuit, dite encore carte à puce. La capacité de traitement est offerte par un microcontrôleur intégré à la /0 carte qui comprend en plus une zone de stockage mémoire. L'accès aux données stockées dans la mémoire est nécessairement réalisé via des méthodes logicielles exécutées par le microcontrôleur intégré, ce qui permet d'interdire ou de contrôler via un processus d'authentification 15 identification préalable, tout accès aux données. Par ailleurs un accès direct à la zone mémoire est impossible. Un tel moyen intelligent et sécurisé peut encore être une carte mémoire (de type mémoire SD ou tout autre format) ou encore une clé USB, du type protégée comme précédemment par 20 un microcircuit qui gère tous les accès à la zone de stockage mémoire. Selon un premier mode de réalisation, le module sécurisé 1 est une carte SIM/UICC insérée de manière amovible dans le terminal mobile 7. Dans ce cas, typique de l'art antérieur, 25 le terminal mobile 7 comprend un lecteur apte à lire/écrire sur le moyen mémoire intelligent et sécurisé que constitue la carte SIM/UICC. Selon un mode de réalisation alternatif, le module sécurisé 1 est un module eUICC. Un module eUICC (pour UICC 30 enfoui, de l'anglais embedded UICC) est fonctionnellement identique à une carte SIM/UICC. Cependant sa forme et diffente et il trise en ce qu'il se pisente sous for d'un circuit. Un es: r insi 'Iobile 7. 35 de p( Hon d'un ?: inbile 7 au moment lu d'un abonr.- un premier Selon Se réalisation, un dispositif de personnalisation 2 comprend une borne informatique associée à un transmetteur 5 sans contact à champ proche compatible d'un transmetteur 4 homologue associé au moyen sécurisé 1. Ceci correspond typiquement au cas où la personnalisation est réalisée chez un concessionnaire, au point de vente. La borne comprend alors un système informatique complet avantageusement relié au fournisseur d'abonnement par un réseau de communication, tel internet. Comme illustré à la figure 2 le transmetteur 5 peut alors 10 être une plaque à proximité de laquelle est disposé le module sécurisé 1 durant le procédé de personnalisation. Le module sécurisé 1 peut avantageusement être ainsi mis en place alors qu'il est dans son emballage de vente 9 ou même dans un terminal mobile 7 lui-même disposé dans son emballage de 15 vente 9. Selon un mode de réalisation alternatif, le dispositif de personnalisation 2 comprend un dispositif portatif comprenant un moyen mémoire intelligent et sécurisé. Ce moyen est associé à un transmetteur 5 sans contact à champ proche 20 compatible d'un transmetteur 4 homologue associé au moyen sécurisé 1. Dans ce cas le dispositif de personnalisation 2 est à l'instar du module sécurisé 1 un moyen mémoire intelligent et sécurisé. Il peut alors fonctionner en mode lecteur ou en mode carte. 25 Il est avantageux que le dispositif de personnalisation 2 soit ainsi suffisamment petit pour être portatif. Ceci permet à un utilisateur de le transporter facilement pour pouvoir réaliser la personnalisation où bon lui semble. Lors de l'achat d'un abonnement, un utilisateur reçoit un dispositif 30 de personnalisation 2, contenant un profil d'abonnement 6, 23, preuve d'abonnement et moyen de sa mise en oeuvre par personnalisation d'un module sécurisé 1. Une petite taille est .nuse en ce qu'elle permet de réaliser un lot ie taill ite. vente 9 afin s. 1 misE_ n=uvre rocédé de Dnnalisation. Ainsi un tel emballage de vente 9 est apte à accueillir un module sécurisé 1 seul, respectivement un terminal mobile 7 comprenant un tel module sécurisé 1. Afin de faciliter la mise en communication du dit module sécurisé 1 avec un dispositif de personnalisation 2, sans quitter son emballage de vente 9, ledit emballage de vente 9 est avantageusement conformé pour accueillir le module sécurisé 1, respectivement le terminal mobile 7 contenant un tel module sécurisé 1, disposé au plus près de la paroi 10 du dit emballage de vente 9. La conformation de l'emballage de vente 9 est encore telle 10 que le module sécurisé 1, respectivement le terminal mobile 7, soit orienté de manière à ce que le module sécurisé 1 et principalement le transmetteur 4 soit disposé au plus près de la paroi 10. Ainsi avantageusement aucun autre composant présent dans l'emballage, tel que câble ou notice technique 15 18, n'est intercalé entre le module sécurisé 1, respectivement le terminal mobile 7, et la dite paroi 10 : le module sécurisé 1, respectivement le terminal mobile 7, est disposé directement contre la dite paroi 10. De manière habituelle, les autres composants ou des 20 moyens de blocages 17, 18 sont présents dans l'emballage de vente 9. Ils sont avantageusement disposés afin de maintenir le module sécurisé 1, respectivement le terminal mobile 7, dans ladite disposition. Afin de permettre 25 1 et le sécurisé l'emballage de vente 9 comprend une fenêtre 11 transparente au moyen de communication 3 sans contact à champ proche utilisé. Ainsi cette fenêtre 11 est perméable aux ondes utilisées par le moyen de communication 3. Si ces ondes sont encore la communication entre le module dispositif de personnalisation 2, 30 optiques la dite fenêtre est optiquement transparente. Si ces ondes sont radio fréduPntiell la dite fenêtre 11 est transparente aux ondes diasa de la ude de fréquence utilisée. Ladite :re ' S é - 7 otali 1' La distance aiusi module sécurisé 1 et 9. uite entre le transmetteur 5 du dro:. du -Ir 4 du ::if de personnalisation 2 peut ainsi rester inférieure à la portée du moyen de communication 3. Ainsi, dans le cas d'une portée centimétrique, comme dans le cas du NEC, une distance de quelques millimètres, nécessaire à réaliser l'épaisseur de la paroi 10 et le cas échéant du terminal mobile 7, permet de garantir une bonne communication. Cependant compte tenu de la tolérance de positionnement qui peut être faible (ici quelques millimètres relativement à quelques centimètres) des assistances au positionnement sont 10 avantageuses. Selon un premier mode de réalisation le positionnement, par exemple manuellement réalisé par un opérateur, de l'emballage de vente 9 et donc du module sécurisé 1 relativement au dispositif de personnalisation 2 est 15 avantageusement facilité par un repérage visuel. Ainsi l'emballage de vente 9 comprend avantageusement au moins un repère visuel indiquant la position du module sécurisé 1, ou tout autre élément de l'emballage de vente 9 à placer en correspondance avec un repère présent sur le dispositif de 20 personnalisation 2 lors du positionnement. Ce repère visuel peut être imprimé directement sur l'emballage de vente 9, obtenu par une étiquette collée sur l'emballage de vente 9, imprimé sur un des éléments contenus l'emballage de vente 9 étant transparent, réalisé en relief 25 dans l'emballage de vente 9, ou tout autre mode de réalisation connu de l'homme du métier. Un repère visuel correspondant est avantageusement disposé sur le dispositif de personnalisation 2. Selon un deuxième mode de réalisation, alternatif ou 33 émentaire du premier, le positionnement de l'emballage de vente 9 relativement au dispositif de perso---,lisation est avanta:: '.-r.ent facilité bar des for.».les émentaires 13, 14 en Ainsi il peut être .., .4 uT:e première foic.e 13 2, cette 13 - - x 9. Le itif de person...- i)n 3 2 forme nentaire 14. Sur la 2, ln cri complémentaire apte à _roissancc 13.

Ceci permet avantageusement de faciliter le positionnement de l'emballage de vente 9 et donc du module sécurisé 1 relativement au dispositif de personnalisation 2, en procurant à l'opérateur du dit positionnement un retour sensitif tactile. Ceci garantit un bon positionnement relatif où les deux transmetteurs 4, 5 sont proches et sensiblement en regard l'un de l'autre. Il a été décrit précédemment que le module sécurisé pouvait ou non fonctionner de manière passive ou active, /0 alimenté ou non par une source d'énergie. Un fonctionnement passif est avantageux en ce qu'il peut être problématique de réaliser une telle alimentation au sein de l'emballage de vente 9. Cependant afin de réaliser certaines fonctions il peut être souhaitable de fonctionner 15 de manière active et il convient alors de fournir une alimentation électrique au module sécurisé, disposé dans son emballage de vente 9 et le cas échéant dans un terminal mobile 7. Dans ce cas l'emballage de vente 9 comprend 20 avantageusement un moyen de commande d'un moyen d'alimentation en énergie du module sécurisé 1. Ce moyen d'alimentation comprend un moyen de stockage d'énergie électrique telle une batterie ou une pile. Il peut s'agir de la batterie du terminal mobile 7 s'il est présent.

25 Cependant un moyen de stockage autonome offre plus de chance d'être disponible et opérationnel, après un temps de stockage pouvant être long. Le dit moyen de commande comprend un interrupteur apte à .-_-ealiser un contact entre le dit moyen d'alimentation et le 3. :dule sécurisé 1. Le dit interrupteur peut être l'interrupteur de mise en route du terminal mobile 7 ou un intembteur dédié. L' ccmpren une partie de est ava: dit interrupeur. cuve r locale nermert:...e un° ion L 10 CH iu une in de e du :ilterna': ,1 age de te ada.:é pour . dans dit 9 localement déformable en regard du dit interrupteur. Le moyen de commande peut encore être un moyen isolant électrique initialement disposé entre le moyen de stockage et le module sécurisé 1 et apte à être retiré, par exemple au moyen d'une languette dont une extrémité est accessible depuis l'extérieur de l'emballage de vente 9 afin de pouvoir retirer la dite languette. L'objectif recherché est que le procédé de personnalisation puisse être entièrement réalisé sans /0 ouverture de l'emballage de vente 9. Ceci est avantageux en ce que l'acheteur ou le vendeur n'est pas obligé de déballer le produit au point de vente. Le procédé est de plus avantageux en ce qu'une personnalisation in situ, sans contact, le produit restant dans l'emballage de vente 9, est 15 bien plus rapide qu'une personnalisation au moyen d'un câble, tel un câble USB, qui nécessite pour sa connexion un déballage complet du produit et du câble. Avantageusement encore le procédé de personnalisation selon l'invention peut être réalisé en l'absence de connexion 20 à un réseau. Si au moins un profil d'abonnement 6 est pré chargé dans le moyen de personnalisation 2, la personnalisation complète y compris le transfert du profil d'abonnement 6 dans le module sécurisé 1 peut être réalisée de manière autonome et déconnectée. Ceci est avantageux pour 25 un module sécurisé 1 installé loin de toute architecture de réseau de communication. L'invention n'est nullement limitée au cas d'utilisation évoqué. Selon un autre cas d'utilisation, typique des communications inter machines (de l'anglais machine to 30 machine ou M2M) le module sécurisé 1 est un composant eUICC intégré dans un terminal mobile 7 réduit à un 7-::17.1e GSM et donc sans interface - module intégré dant véhicule et ' re à un coni rP ou f - ice, de :err du d:.7. par opérations do maintenance La personnal±saton du dit sécuris 1 est réalisée lors de la conclusion du contrat de maintenance. Ainsi la personnalisation est avantageusement réalisée par le prestataire de service assurant le contrat de maintenance lorsque le détenteur du véhicule signe le contrat de D maintenance. Ceci est nécessaire car les véhicules sont potentiellement tous prédisposés à cette fonction en ce qu'ils comportent un module GSM et son composant eUICC 1 et que le client peut décider de ne pas contracter le service de maintenance à distance. Aussi la personnalisation ne pourrait 10 pas être réalisée en sortie de chaine de fabrication véhicule. Le prestataire de service de maintenance à distance n'est pas nécessairement le constructeur automobile. De plus la décision de contracter un tel contrat de maintenance peut être prise plusieurs années après la mise en circulation. /5 Pour réaliser la personnalisation, le dit prestataire de service dispose d'une borne de personnalisation 2. Cette borne est par exemple connectée à internet afin de télécharger un profil d'abonnement 6 auprès d'un serveur du fournisseur d'abonnement. Le dit profil d'abonnement 6 est 20 ensuite transféré au module sécurisé 1 selon le procédé de personnalisation de l'invention. Le véhicule étant peu mobile, c'est la borne de personnalisation 2 ou au moins son transmetteur 5 qui est avantageusement mobile afin de pouvoir être placée à proximité du composant eUICC 1.

25 La réalisation effective de la personnalisation peut être aisément vérifiée en contactant le module GSM / le véhicule via le réseau GSM. Dans ce cas d'utilisation, l'alimentation en énergie du module sécurisé 1 ne pose pas de problème en ce qu'elle peut 30 avantageus être réalisée par lu reseau de bord du véhicule

Claims

REVENDICATIONS1. Procédé de personnalisation d'un module sécurisé (1) par un dispositif de personnalisation (2), comprenant les étapes suivantes : - mise en communication du module sécurisé (1) et du dispositif de personnalisation (2) par un moyen de communication (3) entre le dispositif de personnalisation (2) 10 et le dit module sécurisé (1), - transfert depuis le dispositif de personnalisation (2) vers le dit module sécurisé (1) d'un profil d'abonnement (6) contenant les moyens nécessaires à une authentification d'un terminal mobile (7) associé au dit module sécurisé (1) auprès 15 d'un réseau de communication cellulaire (8), caractérisé en ce que le moyen de communication (3) est sans contact à champ proche.
2. Procédé selon la revendication 1, où le moyen de 20 communication (3) présente une portée inférieure à dix centimètres.
3. Procédé selon la revendication 2, où le moyen de communication (3) utilise la norme de communication sans 25 contact NFC.
4. Procédé selon l'une quelconque des revendications 1 à 3, où le procédé de personnalisation est réalisé, le module sécurisé (1) étant placé dans le terminal mobile (7).
5. Procédé selon l'une quelconque des revendications 1 à 4, où les étapes de la mise en _nication du module sécurisé (1) et du di). ositif de r at: (2) nsfert SC.0 lorsque le dans u.
6. a e de vent , pour un module (1) oupour un terminal mobile (7) comprenant un module sécurisé (1), caractérisé en ce qu'il est conformé pour accueillir ledit module sécurisé (1) ou ledit terminal mobile (7) disposé au plus près de sa paroi (10) et directement contre la dite paroi (10).
7. Emballage de vente 9) selon la revendication 6, comprenant, au moins au droit du module sécurisé (1), une fenêtre (11) transparente à un moyen de communication (3) 10 sans contact à champ proche, permettant une mise en communication du dit module sécurisé (1) et d'un dispositif de personnalisation (2).
8. Emballage de vente (9) selon l'une quelconque des /5 revendications 6 ou 7, comprenant un repère visuel signalant la position du module sécurisé (1), afin de faciliter le positionnement du dispositif de personnalisation (2) relativement au module sécurisé (1). 20
9. Emballage de vente (9) selon l'une quelconque des revendications 6 à 8, présentant une forme (13) complémentaire d'une forme (14) du dispositif de personnalisation (2), afin de faciliter le positionnement du dispositif de personnalisation (2) relativement au module 25 sécurisé (1).
10. Emballage de vente (9) selon l'une quelconque des revendications 6 à 9, comprenant un moyen de commande d'un moyen d'alimentation en énergie du module sécurisé (1).