FR3019432A1 - Dispositif garantissant, entre deux usagers sur des reseaux mobiles, l'anonymat, la protection contre la geolocalisation, et la protection de leurs echanges de donnees sur ces reseaux - Google Patents

Abstract

Dispositif garantissant, entre deux usagers sur des réseaux mobiles, l'anonymat (la protection de leurs identités et leurs vies privées), la protection contre la géolocalisation et la protection de leurs échanges de données sur ces réseaux. Le dispositif est constitué d'une part de dispositifs-mobiles émulant périodiquement deux ensembles d'identifiants (MSISDN / IMSI, IMEI, adresse Mac) dynamiques en permutant à chaque fois les communications sur de nouvelles liaisons, et d'autre part d'un système (plat-forme matériel et logiciel) qui gère les transactions entre les réseaux mobiles et les dispositifs mobiles. Il gère aussi l'attribution de nouveaux identifiants dynamiques et assure la joignabilité, entre eux, des usagers qui utilisent ces dispositifs mobiles à l'intérieur de ce système, et, la joignabilité avec les autres usagers des réseaux mobiles à l'extérieur de ce système. Le tout en préservant leur anonymat et en protégeant les données qu'ils échangent. Le principe étant que la possibilité d'interception des télécommunications d'un usager et sa localisation est assujettie à la connaissance préalable de ses identifiants sur le réseau mobile. L'invention permet de lui attribuer des identifiants dynamiques changeants selon un cycle défini, sur une liaison réseaux, ainsi que d'autres identifiants dynamiques sur une autre liaison. La précédente est interrompue et les communications basculent sur la nouvelle. Ce procédé se répète en boucle à chaque fois sur une liaison toujours nouvelle. Ce qui rend improbable la possibilité d'identifier ses communications et de les intercepter.

Description

La présente invention concerne un dispositif de sécurité accrue, pour la protection des données transitant sur les réseaux des télécommunications entre deux utilisateurs, ainsi que la protection de l'identité et de la vie privée de l'usager de ces réseaux par un dispositif matériel et un système intermédiaire de télécommunication correspondants. Les méthodes et solutions actuellement utilisées pour la sécurité des réseaux de télé communication sont axées sur la protection des données transitant sur le réseau contre leur piratage ou interception, moyennant des algorithmes de cryptage ou autres procédés. Mais aucunes n'offrent un réel anonymat de l'usager quand il utilise ces réseaux. 10 De plus, ces solutions citées sont de fiabilité temporaire du fait que les algorithmes qu'elles utilisent sont de plus en plus répandus et accessibles et donc vulnérables. En outre, ces solutions nécessitent toute une implication des composantes du réseau mobile, ce qui les rendent très coûteuses. L'identification de l'usager au moment où il utilise le réseau de télécommunication permettra toujours d'intercepter ses échanges (vocaux ou données). Il 15 existe aussi des solutions sécurisantes qui utilisent des systèmes de communication par internet sur le réseau mobile, notamment la VoIP, mais leur sécurité est aussi limitée car il y a toujours moyen en identifiant l'usager d'intercepter sa communication. La présente invention s'applique à tous les réseaux de télécommunication et avec tous les 20 protocoles (GSM, UMTS 3G, LTE 4G) ainsi que tous autres réseaux de télécommunication sans fil, cellulaire ou autre qui utiliseraient un protocole d'identification de l'usager. La solution selon l'invention permettra à deux usagers sur un réseaux de télécommunication d'échanger des communications de données (vocales, SMS, vidéo, émail et autres données) sans que ces données ne risquent d'être interceptées ou piratées et sans risque d'être identifié 25 ni d'être géolocalisé. Ceci grâce à l'utilisation des deux usagers d'un dispositif mobile de télé-communication (définit par l'invention) sur un réseau sans fil, (exemple : les réseaux cellulaires), équipé d'un émulateur d'identifiant IMSI, d'un émulateur IMEI et d'un émulateur d'adresse MAC, embarquant un programme logiciel qui va récupérer à intervalle de temps déterminé et selon un algorithme déterminé, sur une base de donnée accessible aux deux 30 dispositifs mobiles par internet sur le réseau de télécommunication, des identifiants (IMSI, IMEI et MAC-adress) qui changent à chaque interrogation. La base de donnée des identifiants est alimentée initialement par un nombre déterminé d'identifiants existants et réels. Elle s'enrichit par mise à jour à chaque souscription à la solution d'un nouveau usager par un nombre déterminé de nouveau identifiant. Hors communication, chaque usager qui utilise ce service avec le dispositif mobile (définit par l'invention) se voit attribuer de nouveaux identifiants à intervalle de temps déterminé. Ceci lui permet donc de ne pas être identifié et géolocalisé sur la PLMN (Public Land Mobile Network) à travers des BSS (Base Station Sub-system) puisqu'il n'est réellement identifiable que sur la base de donnée (définit par l'invention). L'usager sera toujours joignable sous son réel MSISDN (Mobile Station ISDN Number) attribué sur le PLMN grâce à la table de correspondance de la base de donnée (définit par l'invention). Le système intermédiaire (définit par l'invention) reçoit l'appel destiné à un MSISDN et route la liaison sur le nouveau MSISDN de l'usager recherché après avoir d'abord routé l'appelant sur un nouveau MSISDN libre depuis la base de donnée (définit par l'invention) et avoir rompu la première liaison de l'appel; ainsi les deux usagers sont en correspondance sur une nouvelle liaison avec chacun un identifiant différent de celui de la première liaison. Pendant toute la durée de la communication et à intervalle de temps déterminé le dispositif mobile (définit par l'invention) de chacun des deux usagers consulte la base de donnée (définit par l'invention) et récupère de nouveau identifiant disponibles (libres : non utilisés par les autres usagers de la solution). Ces derniers sont utilisés par les émulateurs (définit par l'invention). Puis les deux dispositifs mobiles (définit par l'invention), qui sont en liaison, établissent une nouvelle liaison sous les nouveaux identifiants et dès que la communication est établie avec la nouvelle liaison, la précédente liaison est interrompue en basculant tous les échanges en cours des données de la liaison précédente sur la nouvelle liaison. A l'instar d'un dispositif mobile à double SIM(Subscriber Identity Module) qui permet de basculer de l'usage d'une SIM à une autre, le dispositif mobile (définit par l'invention) permet le même procédé, mais ce par intervalle cyclique déterminé et automatiquement, avec des identifiants (IMSI, IMEI et MAC-adress) dynamiques changeant à chaque cycle par de nouveaux ID récupérés sur la base de données (définit par l'invention). L'intervalle de temps pour permuter la communication de la liaison courante vers la nouvelle déjà établie étant négligeable permet une fluidité de la communication en vocal. Un autre aspect de l'invention permet la gestion et la synchronisation de l'envoi et de la réception des SMS. Cette fonction est assurée grâce à un programme logiciel installé sur les dispositifs mobiles (définis par l'invention). qui exploite une clé partagé pour rassembler les portions cryptées du SMS sur les différentes liaisons établies successivement pendant la communication sans aucun besoin de références des différentes liaisons. Un des aspects de l'invention est qu'elle met en jeu des dispositifs mobiles et une base de données interrogeable par Internet mais il n'y a aucun besoin de changer ni matériels, ni logiciels, ni le comportement des réseaux mobiles existants, ce qui implique un faible coût de mise en place. Un autre aspect de l'invention est qu'avec l'interchangeabilité fréquente entre les dispositifs mobiles (définis par l'invention) des identifiants (existants et réelles) correspondants à de réels MSISDN, fait que l'usager est faussement géolocalisé par les BSS géographiquement éloignées de sa réelle position. Et ce car son MSISDN original (relative à son PLMN) avec ses identifiants, ne lui sont jamais attribués tandis-que lui, à un temps T, il exploite d'autre identifiants sur le système. Ce qui procure une protection contre sa géolocalisation et rend aussi extrêmement difficile le piratage ou l'interception de ses communications, d'autant plus que ces dernières sont partagées sur plusieurs liaisons. Un autre aspect de l'invention est la possibilité d'activer ou de désactiver, totalement ou partiellement, sur les dispositifs mobiles (définis par l'invention), les fonctions de sécurité décrites selon l'invention. A savoir : l'émulation ou pas de tel ou tel autre identifiant, le IMSI, l'IMEI ou l'adresse MAC séparément ou dans leur ensemble, car les dispositifs mobiles (définis par l'invention) possèdent un double-émulateur à la place des IMSI, IMEI et adresse MAC, en double comme un système Dual-SIM pour nmsi mais aussi pour l'IMEI et l'adresse MAC, le tout en émulation dynamique et pas en statique. Les dessins annexés illustrent l'invention : La Figure.1 représente le dispositif mobile de télécommunication La Figure.2 représente le système intermédiaire de télécommunication La figure.3 représente le schéma de fonctionnement typique de l'invention Principe de fonctionnement de l'invention : Pour utiliser ce système l'usager doit fournir son MSISDN existant pour d'une part l'intégrer à la base de donnée des MSISDN originaux (10), d'autre part l'affecter à une passerelle réseaux-cellulaires (6) reliée à un commutateur (5). A partir de ce moment l'usager obtient un nouveau MSISDN dynamique aléatoirement attribué depuis la base de donnée(8). Cette base de données (8) contient initialement un nombre déterminé de MSISDN et à laquelle on ajoutera un nombre déterminé de nouveau MSISDN à chaque intégration d'un nouveau MSISDN sur la base de donnée (10), soit à chaque nouveaux usager ajouté au système. De ce fait, chaque usager de ce système aura son MSISDN réel sur la base de donnée (10) par lequel il sera identifiable uniquement par le système et jamais par les utilisateurs du système. Il sera aussi joignable à un temps T sur le réseau grâce à l'affectation de son MSISDN et son IMSI à la passerelle réseaux-cellulaire (6) en transitant par le commutateur (5) qui dirigera l'appelant vers le nouveaux MSISDN attribué à ce temps T à l'usager correspondant en inscrivant sur le système (2) de nouveaux (IMSI, IMEI,adresse MAC) car Le système (2) embarque le double-émulateur (21) et (22). Ce dispositif contiendra un nombre variable et évolutif de systèmes intermédiaires constitué chacun : d'un ensemble variable et évolutif de serveurs tous reliés entre eux et à deux bases de données (10) et (8) grâce à une connexion internet, d'un ensemble variable et évolutif de passerelles réseaux-cellulaire (6) auxquelles seront attribués en permanence les MSISDN et IMSI de chaque usager du système, d'un ensemble variable et évolutif de passerelle réseau cellulaire (9) sur lesquelles seront affectés, par le système, dynamiquement des MSISDN et IMSI autres que ceux utilisés par les usagers du système, et enfin d'un ensemble variable et évolutif de commutateurs (5). - Cas d'un usager du système qui reçoit ou effectue un appel vocal : On prend comme exemple son MSISDN réel le MSISDN(i) ; Son nouveau MSISDN à un temps T le MSISDN(t1) ; Et comme MSISDN de l'appelant le MSISDN(a).

L'usager utilisant le terminal mobile (18) reçoit un appel vocal sur son MSISDN(i). La passerelle (16) à laquelle a été affectée cet MSISDN(i) reçoit la requête de mise en relation. Le système logiciel (4) intercepte la demande et effectue une interrogation des bases de données (10) et (8) pour retrouver le MSISDN(t1) actuel de l'usager et effectue une interrogation de la base de données (10) pour vérifier si le MSISDN(a) appelant est un usager du système. Si ce n'est pas le cas (l'appelant n'est pas un usager du système), alors le système (4) envoie sur internet une alerte au dispositif mobile (18) l'informant d'un appel non sécurisé ainsi que la présentation du MSISDN(a) et attend la réponse du dispositif (18). L'usager du dispositif (18) recevant l'information doit effectuer un choix qui est renvoyé au système (4). Si le choix est d'accepter la communication, le dispositif mobile (18) interroge sur internet la base de données (8) en vue de l'obtention de nouveaux identifiants libres non utilisés par un autre usager du système, se les approprie et les communique au système (4) puis reste en mode identifiants statiques durant toute la communication. À ce moment le système (4) effectue un renvoi d'appel de la passerelle (16) vers le nouveau MSISDN du dispositif mobile (18). À la fin de la communication le dispositif mobile (18) reprend le fonctionnement standard propre à l'invention, expliqué plus loin dans ce qui suit. Si l'usager du dispositif mobile (18) refuse la communication, l'information est transmise au système (4) et celui ci envoi une instruction de rejet à la passerelle (16). Dans le cas où l'appelant est identifié comme usager du système "on considère qu'il utilise le dispositif mobile (19)". Le système (4) envoie aux deux dispositifs mobiles (18) et (19) une confirmation garantissant l'identité des deux usagers. Les deux dispositifs mobiles (18) et (19) entrent alors dans une phase de fonctionnement standard propre à l'invention à savoir: Selon un cycle déterminé, les dispositifs mobiles (18) et (19), qui sont encore en communication et utilisant les premiers identifiants, récupèrent par internet de nouveaux identifiants sur la base de donnée (8) qu'ils se communiquent mutuellement par échange crypté (selon un algorithme et une clé, déterminés) sur Internet. Le programme (1) effectue une inscription des nouveaux identifiants propres au dispositif mobile (18) sur «le système d'identification et communication sur le réseau mobile» (2) du dispositif mobile (18), puis effectue à son tour un second appel vers le nouveau MSISDN du dispositif mobile (19), initialement émetteur de l'appel, grâce à la fonction double identification et double appel simultané du système (2). Le programme (1) sur le dispositif mobile (19), ayant lui aussi inscrit ses nouveaux identifiants sur son système (2), reçoit le nouvel appel et envoie alors par Internet au système (4) une requête de validation du MSISDN appelant. Le système (4) vérifie l'appartenance du MSISDN, objet de la requête, à la base de donnée (8) et renvoie la réponse par internet au programme (1) du dispositif (19). Si la réponse est positive le programme(1) établit la nouvelle communication. Les deux dispositifs (19) et (18) se trouvent à cette instant en double communication simultanée mais pour un très bref instant puisque le programme (1) du dispositif (19) va ordonner l'interruption de la précédente communication. A ce moment un nouveau cycle recommence où les dispositifs (18) et (19) récupèrent par internet chacun de nouveaux identifiants grâce à leurs programmes (1) respectifs qui vont inscrire les nouveaux identifiants récupérés, chacun sur son propre système (2) en remplacement des identifiants de la précédente communication interrompue. Puis, ils se les communiquent respectivement par internet afin d'avoir une double validation d'identification : une localement sur chaque dispositif mobile grâce à l'échange mutuel, et une seconde effectuée en interrogeant la base de donnée (8). Dans ce nouveau cycle, c'est le dispositif mobile (19) qui redevient l'appelant et effectue donc un nouvel appel vers le nouveau MSISDN du dispositif(18) qui à son tour, par le biais de son programme (1), effectue la procédure d'authentification de l'identité de l'appelant. Si l'authentification est validée la communication est établie, la précédente communication est rompue et un nouveau cycle commence. A n'importe quel cycle, si l'authentification n'est pas validée, toutes les communication sont rompues et une procédure de ré-attribution de nouveaux identifiants est effectuée sur les deux dispositifs mobiles (19) et (18). La cyclicité des procédures augmente le niveau de sécurité et rend difficile la possibilité d'interception des communications ou d'identification par un tiers. Ce niveau de sécurité est encore plus augmenté grâce à la permutation de l'état appelant à appelé entre les deux dispositifs et le fait que le système (2) actionne séparément et indépendamment l'un et rautre des deux ensembles d'identifiants (21) et (22) pour établir deux communication distinctes.

Un tiers, cherchant à localiser ou intercepter les communications d'un usager du système, doit connaître les identifiants de l'usager. Or, celui ci, selon l'invention utilise des identifiants dynamiques qui changent continuellement. On suppose que par un moyen quelconque un pirate arrive à se procurer les identifiants de l'usager à un instant T mais cela ne sera valable qu'un laps de temps très court car le dispositif sera en communication avec ces mêmes identifiants uniquement pendant ce temps là. puisqu'ils seront perdus et la communication rompue, remplacés par d'autres identifiants mais sur un autre canal avec encore une fois d'autres identifiants. Il y aurait aussi la possibilité de récupérer les bases de données du système. Cependant, cela ne servira à rien, dans la mesure où la table de correspondance des identifiants est dynamique et en changement perpétuel. Il faudra sonder en continu et en temps réel cette table pour traquer un MSISDN donné en vue d'obtenir sa correspondance à chaque changement, sans être repéré par le système de sécurité des serveurs. Cette entreprise risque d'être extrêmement difficile mais si cela venait à ce produire, une parade est prévue aussi à cette effet puisqu'à chaque changement, ce n'est pas une modification d'un champ de la table qui est effectuée mais plutôt une suppression de l'ancien enregistrement et la création d'un nouveau avec les nouvelles valeurs. Ainsi cela rendra plus difficile le traçage, d'autant plus que le temps que prendra le système pirate pour récupérer les données et les traiter sera trop long pour pouvoir les exploiter. - Cas d'un usager du système qui reçoit ou envoi un SMS : Un usager utilisant le dispositif (18) saisit un SMS avec une application contrôlée par le programme (1). Il indique le MSISDN(i) du destinataire du SMS. Le programme (1) crypte le SMS grâce à un algorithme défini puis interroge sur internet la base de données (10) pour vérifier si le MSISDN(i) est un usager du système. Si c'est le cas le programme (1) interroge sur internet la base de donnée (8) en vue d'obtenir le MSISDN actuel du destinataire et lui envoie une instruction pour recevoir le SMS et partage avec lui la clé K1 de cryptage. On considère que le destinataire utilise le dispositif (19). Le programme (1) du dispositif (19) renvoie une confirmation au dispositif (18). Le programme (1) de chacun des dispositifs (19) et (18) interroge la base de donnée (8) et obtient de nouveaux identifiants qu'ils se partagent. Les deux dispositifs (18) et (19) se retrouvent donc avec deux d'identifiants chacun sur leur système (2) respectif, soit un MSISDNE1 et un MSISDN' pour le dispositif (18) et, un MSISDN' et un MSISDN' pour le dispositif (19). Le programme (1) du dispositif (18) scinde le SMS crypté en un nombre de portions défini selon un algorithme défini et une clé KX variant par portion de SMS. Il envoie une des portions choisie aléatoirement du SMS en utilisant les MSISDN' vers le dispositif (19) sur le MSISDNRI et lui envoi en même temps la clé KX correspondante avec le MSISDN' vers le MSISDNR2. Le programme (1) de chacun des dispositifs (18) et (19) opère à cet instant un cycle de ré-attribution de nouveaux identifiants dont (MSISDNRI, MSISDNE2, MSISDN', MSISDNRI) en interrogeant la base de donnée(8). Le programme(1) du dispositif (18) envoie une nouvelle portions choisie aléatoirement du SMS en utilisant les MSISDNE1 vers le dispositif (19) sur le MSISDNRI et lui envoie en même temps la clé KX correspondante avec le MSISDNRI vers le MSISDNRI . La même procédure est effectuée jusqu'à la dernière portion envoyé avec l'indication de fin d'envoi de message. Quand le programme (1) du dispositif (19) reçoit l'indication de fin de message, il rassemble toutes les portions reçues et les ordonne grâce à l'algorithme prédéfini et les clé KX puis décrypte le SMS avec la clé Kl. Les deux dispositifs (18) et (19) reprennent le fonctionnement standard de l'invention. Si par contre le programme (1) du dispositif (18) reçoit l'information que le MSISDN(i) destinataire du SMS n'est pas un usager du système , il informe l'usager émetteur que cette opération ne sera pas sécurisée et l'invite à confirmer l'envoi. Si l'usager confirme l'envoi, le programme (1) du dispositif (18) interroge le système pour obtenir le MSISDN d'une passerelle libre pour y envoyer le SMS sur le réseau cellulaire. «On suppose pour l'exemple que c'est la passerelle (14) ». Le programme (1) du dispositif (18) indique au programme (4) la disposition du SMS sur la passerelle (14). Le programme (4) envoie une instruction à la passerelle (14) pour transférer le SMS vers la passerelle à laquelle est affecté statiquement le MSISDN initial (connu par son PLMN) de l'usager émetteur du SMS, et ordonne à celle ci d'envoyer le SMS vers le MSISDN(i) du destinataire. De ce fait le destinataire recevra le SMS avec la signature du MSISDN original de l'usager émetteur. - Cas d'un usager du système qui reçoit un SMS d'un MSISDN n'appartenant pas au système Pour l'exemple on appellera le MSDNS original d'un usager, celui existant sur le PLMN de son opérateur, MSISDN(i). En supposant que ce MSISDN(i) soit affecté à la passerelle (16) et que l'usager utilise le dispositif (18) qui a un MSISDN(T) à temps T.

La passerelle (16) reçoit le SMS. Le programme (4) reçoit l'information . Il effectue une interrogation de la base de données (8) pour retrouver le MSISDN actuel de l'usager destinataire du SMS. Le programme (4) envoie une instruction au MSISDN retrouvé pour informer le programme (1) du dispositif (18) de la présence du SMS. Le programme (1) du dispositif (18) interrompt le cycle de permutation des identifiants sur le dispositif (18) pendant un temps déterminé afin de recevoir le SMS. Le programme (4) en ce temps ordonne à la passerelle (16) de transférer le SMS vers le MSISDN(T). dès que le SMS est reçu, le programme (1) du dispositif (18) envoie une confirmation de réception au programme (4). Si le SMS n'est pas reçu pendant le temps déterminé, le programme (1) reprend le fonctionnement standard de l'invention, à savoir : les cycles de changement d'identifiants, reprise de la même procédure de recherche du nouveau MSISDN(T) et transfert du SMS de la passerelle (16) vers ce nouveau MSISDN(T), le tout jusqu'à obtention de confirmation de réception. En dehors des dispositions expliquées précédemment, les dispositifs mobiles de cette invention fonctionnent sur les réseaux mobiles à l'identique des dispositifs mobiles actuellement existants, à l'exception du fait qu'ils changent périodiquement selon un temps déterminé leurs identifiants et utilisent simultanément, à un temps T, deux ensembles d'identifiants distincts sur deux canaux distincts. Toutes communications, qu'elles soient vocales ou de données, transitent sur les réseaux mobiles et selon leurs standards à chaque cycle du système décrit. La solution proposée n'est pas basée sur la VoIP ni sur un système de communication sur internet. Elle n'implique aucun changement du comportement des usagers sur le réseau mobile puisqu'elle fonctionne en arrière plan de l'usage habituel et sans intervention particulière de la part des utilisateurs. Toutes les procédures décrites précédemment sont applicables sur tous type de réseau mobile. Elles sont applicables aussi à toutes les autres transactions sur le réseau, autres que communication vocal ou SMS dont les procédures sont précédemment décrites. A toutes les étapes des transactions effectuées sur ce système, objet de l'invention, chaque dispositif mobile demande l'attribution de nouveaux identifiants par son programme (1), ce faisant, il déclenche une procédure de vérification de l'intégrité des correspondances des identifiants originaux des usagers et des identifiants dynamiques qui leurs sont attribués par le système. Par ce principe, le programme (4) rejettera tout appel entrant non initié par le système s'il provient d'un MSISDN original appartenant à un usager du système et venant de l'extérieur du système car tous les identifiants originaux (dont le MSISDN original) sont en mode réception seulement sur notre système. A chaque requête d'attribution de nouveaux identifiants dynamiques reçus par le programme (4) (le programme (4) est une plat-forme logiciel et matériel), celui ci vérifie l'intégrité du nombre de requête avec le nombre d'usagers. Il vérifie également si deux requêtes arrivent avec deux mêmes identifiants dynamiques, dans ce cas les deux requêtes sont rejetées et le programme (1) invite l'usager à s'identifier localement par le biais du dispositif d'identification biométrique (3) sur le dispositif mobile. Le programme (1) envoie alors une demande de synchronisation au programme (4) où il lui transmet les deux ensembles d'identifiants dynamiques actuellement attribués et l'identifiant biométrique de l'usager, (Du fait que les deux ensembles d'identifiants dynamiques sont aléatoirement attribués à un dispositif mobile, il est infiniment peu probable que le pirate ait ces deux ensembles en même temps). À ce moment, le programme(4) vérifie l'authenticité de l'identité de l'usager sur la base de données (10) et l'intégrité des deux ensembles d'identifiants dynamiques sur la base de données (8). Si l'identification est garantie, le dispositif mobile se voit attribuer deux nouveaux ensembles d'identifiants dynamiques après avoir couper la liaison de l'ensemble d'identifiants que possède le pirate, puis change aussi l'autre ensemble d'identifiants (non acquis par le pirate), et enfin établie une nouvelle liaison sur ce nouvel ensemble. Par la suite le processus habituel du système reprend.

La sécurité de ce système peut être encore plus renforcée en ajoutant un système plus complexe qui ne met pas directement en relation deux usagers mais plutôt l'un d'eux avec une passerelle(9) qui va se comporter à l'identique du dispositif mobile, objet de l'invention. Celle dernière est mise en relation avec une seconde passerelle au même fonctionnement, qui à son tour sera en relation avec l'autre usager.

L'ensemble du système et de la solution, selon l'invention, est particulièrement destiné à protéger efficacement, sur les réseaux mobiles, des personnalités nécessitants la préservation du secret de leurs communications et échanges sur le réseau. Il est également destiné à empêcher leur géolocafisation ainsi qu'à garantir leur anonymat sur les réseaux mobiles. Tel que des personnalités du gouvernement à responsabilités et postes sensibles, des acteurs économiques des secteurs sensibles et aussi des personnes en relation avec la sécurité nationale (militaires et autres services sensibles). La présente invention pourra être réalisée et utilisée d'un pays à l'autre selon les dispositions législatives de chaque pays et éventuellement sous le contrôle de cette autorité.

Claims (7)

1. REVENDICATIONS1) Dispositif de sécurité pour la protection des données, des identités et de la vie privée sur les réseaux de télécommunication mobile entre deux utilisateurs, caractérisé en ce qu'il comporte des dispositifs mobiles de télécommunication embarquant des émulateurs (2) qui émulent deux ensemble (21) et (22) d'identifiants dynamiques (IMSI, IMEI, adresse MAC) (comme un système Dual-SIM qui lui a des identifiants statiques), Ces dispositifs mobiles communiquent sur les réseaux mobiles avec un ensemble d'identifiants (21) déterminés à un temps T, tout en établissant en parallèle une autre liaison sur le réseau mobile avec un autre ensemble (22) d'identifiants différents des l'ensemble (21). Le dispositif mobile se trouve alors avec deux ensembles d'identifiants (21) et (22). Dès que la nouvelle liaison est établie avec l'ensemble (22), la communication de la précédente liaison avec l'ensemble (21) est basculée sur la nouvelle avec l'ensemble (22) et la précédente liaison avec l'ensemble (21) est interrompue. L'ensemble d'identifiants (21) de la première liaison est remplacé par un nouvel ensemble d'identifiants récupéré sur une base de données (8) et une troisième liaison est établie avec ce nouvel ensemble d'identifiants (21). La communication en cours avec l'ensemble (22) est basculée sur la nouvelle liaison avec l'ensemble (21) et celle qui la précède avec l'ensemble (22) est interrompue. Ces séquences se répètent en boucle. A chaque cycle, un programme logiciel (1) interroge la base de données (8) pour obtenir un nouvel ensemble d'identifiants qu'il inscrit alternativement sur (21) ou (22) à la place de l'ensemble d'identifiants de l'avant dernière liaison, partage le nouvel ensemble avec le correspondant s'il y a communication en cours, établit une nouvelle liaison sur le réseau à la place de l'avant dernière en utilisant ce nouvel ensemble, et enfin, interrompt la liaison précédente sur laquelle il va effectuer à nouveau la même procédure.
2. 2) Dispositif assurant la compatibilité des communications sécurisées par l'invention avec les réseaux mobiles, caractérisé en ce que le programme (4) assure la fonction d'interception des appels entrants à destination des usagers de ce système en surveillant les passerelles réseau-cellulaire (6) qui hébergent le MSISDN réel initialement attribué par le PLMN de l'opérateur de chaque usager. Une fois l'appel intercepté, le programme (4) recherche sur la base de données (8) le MSISDN actuellement attribué à l'usager destinataire de l'appel et ordonne au commutateur (5) le renvoi de cet appel de la passerelle (6) vers le MSISDN actuel de l'usager à travers la passerelle (9) qui a un autre MSISDN différent.
3. 3) Dispositif selon les revendication 1 et 2 empêchant la géolocalisation des usagers de ce système, caractérisé en ce que cette géolocalisation s'effectue habituellement grâce à l'identification de l'antenne (cellule radio, antenne wifi etc...) à laquelle est connecté l'usager et aux identifiants de cet usager. Les identifiants réels de l'usager étant affectés à une passerelle (6) qui sera toujours référencée à l'antenne à sa proximité, de sorte que, quand l'usager reçoit un appel, il sera toujours faussement localisé à cette antenne tandis-que la communication est commuté (renvoyée) vers un autre MSISDN puis transite par une seconde passerelle avec un autre nouvel MSISDN qui n'est jamais la même avant d'arriver au destinataire sur son MSISDN à cet instant T. Le MSISDN de l'usager de cette solution est dynamique et change à une fréquence déterminée.
4. 4) Dispositif selon la revendication 1 et la revendication 3, empêchant l'interception des communications entre deux usagers utilisant les dispositifs mobiles (18) de l'invention en empêchant la prédiction des nouveaux identifiants, caractérisé en ce que à chaque nouveau cycle de la revendication 1 une alternance s'établit pour permuter l'initiateur de l'appel entre les deux dispositifs mobiles (18) et (19) des deux usagers en communication. De cette façon la tentative du pirate échouera au premier changement de cycle, puisque le dispositif mobile surveillé n'émettra pas d'appel et ne fournira pas d'identifiant appelé. Le dispositif mobile initialement appelé va cette fois ci initier la liaison et l'inverse se produira au cycle suivant en alternance à chaque cycle.
5. 5) Dispositif selon toutes les revendications précédentes pour rendre encore plus sures les communications des usagers de ce système avec une prévention contre l'usurpation d'identifiants appartenant au système, permettant à un pirate d'intégrer ce système et de le pirater, caractérisé en ce que le programme (4) intercepte tous les appels entrants. Si un appel provient d'un MSISDN existant sur la base de données (10) et provenant de l'extérieur du système (non initié par ce dernier), il est systématiquement rejeté car il provient certainement d'une tentative d'usurpation, du fait que tous les MSISDN de la base de donnée (10) sont attribués à des passerelles (6) qui n'initient jamais d'appels sortants en dehors de ceux ordonnés par le programme (4). Le programme (4) contrôle aussi les attributions des identifiants dynamiques pour identifier les éventuelles tentatives de leurs usurpations. Il procède pour cela à la détection des demandes en double d'attribution d'identifiants dynamiques provenant de deux dispositifs mobile ayant les mêmes identifiants dynamiques à un temps donné. La prévention se fait en rejetant les deux demandes et en instruisant une procédure d'identification biométrique sur les dispositifs mobiles et une identificationbasée sur la combinaison des deux ensembles d'identifiants dynamiques sur le dispositif mobile. Puis, le programme (4) attribue un nouveau couple d'ensemble d'identifiants au dispositif authentifié.
6. 6) Dispositif selon toutes les revendications précédentes permettant le renforcement de la sécurité quant à l'identification d'un dispositif mobile sur le système et pendant une communication entre deux dispositifs mobiles. caractérisé en ce que deux dispositifs mobiles effectuent une double authentification pendant les communications et à chaque cycle. Une localement en s'échangeant les identifiants respectifs et une autre à travers la consultation et la confirmation de ces identifiants sur la base de données (8).
7. 7) Dispositif selon les revendications 1 à 4 permettant l'échange sécurisé de SMS, empêchant leurs interceptions, empêchant aussi l'identification ou la localisation des usagers de ce système qui se les échangent. Caractérisé en ce que un SMS saisi sur un dispositif mobile (19) est crypté et scindé par le programme (1) de ce dispositif mobile en un nombre déterminé de portions, selon un algorithme déterminé et des clés différentes sur chaque portion du SMS. Ces portions de SMS sont envoyées au dispositifs (18) à chaque cycle sur une liaison établie avec des identifiants attribués à cet instant et la clé correspondante à la portion du SMS sur une autre liaison établie avec d'autres identifiants au même instant. L'ordre d'envoi des portions est aléatoire. La dernière portion envoyée porte l'indication de fin d'envoi qui déclenche sur le programme (1) du dispositif mobile (19) une procédure de fusion des portions reçues et le décryptage du SMS en utilisant l'algorithme prédéterminé et les clés reçues correspondant à chaque portion. L'envoi d'un SMS d'un dispositif mobile appartenant à ce système (donc sécurisé) vers un dispositif mobile ne faisant pas parti de ce système (donc non sécurisé) ne sera pas sécurisé et l'usager du dispositif mobile sécurisé sera invité à confirmer l'envoi. Si l'envoi est confirmé, l'identité et la localisation de cet usager seront toujours protégées car l'envoi se fait avec les identifiants dynamiques attribués à cet usager à cet instant, vers une passerelle qui, à son tour le renvoie avec des identifiants différents vers la passerelle hébergeant les identifiants réels et statiques (ceux attribués par l'opérateur de l'usager). Cette dernière va envoyer le SMS vers le destinataire.ABRÉGÉ Dispositif garantissant, entre deux usagers sur des réseaux mobiles, l'anonymat (la protection de leurs identités et leurs vies privées), la protection contre la géolocalisation et la protection de leurs échanges de données sur ces réseaux. Le dispositif est constitué d'une part de dispositifs-mobiles émulant périodiquement deux ensembles d'identifiants (MSISDN / IMSI, IMEI, adresse Mac) dynamiques en permutant à chaque fois les communications sur de nouvelles liaisons, et d'autre part d'un système (plat-forme matériel et logiciel) qui gère les transactions entre les réseaux mobiles et les dispositifs mobiles. II gère aussi l'attribution de nouveaux identifiants dynamiques et assure la joignabilité, entre eux, des usagers qui utilisent ces dispositifs mobiles à l'intérieur de ce système, et, la joignabilité avec les autres usagers des réseaux mobiles à l'extérieur de ce système. Le tout en préservant leur anonymat et en protégeant les données qu'ils échangent. Le principe étant que la possibilité d'interception des télécommunications d'un usager et sa localisation est assujettie à la connaissance préalable de ses identifiants sur le réseau mobile. L'invention permet de lui attribuer des identifiants dynamiques changeants selon un cycle défini, sur une liaison réseaux, ainsi que d'autres identifiants dynamiques sur une autre liaison. La précédente est interrompue et les communications basculent sur la nouvelle. Ce procédé se répète en boucle à chaque fois sur une liaison toujours nouvelle. Ce qui rend improbable la possibilité d'identifier ses communications et de les intercepter.