FR3023039A1

FR3023039A1 - AUTHENTICATION OF A USER

Info

Publication number: FR3023039A1
Application number: FR1456131A
Authority: FR
Inventors: Philippe Genestier; Olivier Gruson
Original assignee: Orange SA
Current assignee: Orange SA
Priority date: 2014-06-30
Filing date: 2014-06-30
Publication date: 2016-01-01

Abstract

Un utilisateur dispose d'un support matériel de données (SM1), porteur de premières données d'identification représentatives d'une identité d'origine (IO1) affectée à l'utilisateur, et d'un objet mobile communicant apte à exécuter une opération d'authentification à partir d'au moins une donnée propre à l'utilisateur stockée dans une mémoire de l'objet mobile communicant. Une plateforme (PFass) d'un système d'authentification génère des deuxièmes données d'identification représentatives d'une identité dérivée (ID1) de l'identité d'origine et mémorise ces deuxièmes données d'identification en association avec des données de contact de l'objet mobile communicant. Un message envoyé vers l'objet mobile communicant déclenche l'exécution par ledit objet mobile communicant de l'opération d'authentification à partir d'au moins une donnée propre fournie par l'utilisateur et de la donnée propre à l'utilisateur stockée. Un message signalant un succès de l'opération d'authentification est envoyé à une plateforme (PFop) accompagné de l'identité de l'utilisateur, laquelle est associée à l'objet mobile communicant, et dont la non répudiation a été vérifiée.A user has a hardware data medium (SM1), carrying first identification data representative of an origin identity (IO1) assigned to the user, and a communicating mobile object capable of executing an operation. authentication from at least one data specific to the user stored in a memory of the communicating mobile object. A platform (PFass) of an authentication system generates second identification data representative of a derived identity (ID1) of the original identity and stores the second identification data in association with contact data. of the communicating mobile object. A message sent to the communicating mobile object triggers the execution by said communicating mobile object of the authentication operation from at least one own data provided by the user and the data specific to the stored user. A message indicating a success of the authentication operation is sent to a platform (PFop) accompanied by the identity of the user, who is associated with the communicating mobile object, and whose non-repudiation has been verified.

Description

La présente invention concerne un système et procédé d'authentification d'un utilisateur, auquel est attribué un support de données numériques, porteur de premières données d'identification, représentatives d'une identité d'origine affectée à l'utilisateur. Ce procédé ou système d'authentification est utilisable notamment pour l'authentification de l'utilisateur lors d'une demande d'accès à un service, par exemple un service d'accès à des données. La demande de brevet publiée sous le numéro W02013/121127 décrit une telle solution d'authentification d'un utilisateur. Dans cette solution, une identité dérivée est générée à partir de l'identité d'origine lue sur le support matériel de données, cette identité dérivée étant stockée dans un terminal mobile de l'utilisateur en association avec une donnée propre à l'utilisateur, telle que par exemple un code PIN ou mot de passe. L'authentification de l'utilisateur est effectuée ensuite sur la base des données stockées dans le terminal mobile : l'utilisateur saisit sur le terminal mobile une donnée propre égale à celle stockée en association avec l'identité dérivée. Puis, si la donnée propre saisie est correcte, le terminal mobile transmet vers un serveur d'authentification l'identité dérivée stockée dans le terminal mobile. Cette solution présente les limitations suivantes. En premier lieu, l'identité dérivée est transmise du terminal mobile vers le serveur d'authentification au travers du réseau mobile: la nécessité de cette transmission rend impossible toute utilisation du service en l'absence de couverture par un réseau mobile : en particulier l'identité dérivée ne peut pas être obtenue. En deuxième lieu, l'utilisation de cette solution est possible seulement pour certains terminaux disposant de suffisamment de mémoire et compatibles avec l'exécution d'une application exécutée par le module de sécurité (par exemple une carte SIM, suscriber identity module) du terminal mobile, qui soit à la fois capable de stocker l'identité dérivée dans la module de sécurité et capable de procéder à l'authentification sur la base de l'identité dérivée stockée. En outre, une telle application doit être installée dans le terminal mobile préalablement à la génération de l'identité dérivée afin de pouvoir procéder au stockage de l'identité dérivée et de la donnée propre associée selon la procédure décrite dans la demande de brevet précitée.The present invention relates to a system and method for authenticating a user, to which is assigned a digital data carrier carrying first identification data, representative of an original identity assigned to the user. This method or authentication system is used in particular for the authentication of the user during a request for access to a service, for example a data access service. The patent application published under the number W02013 / 121127 describes such a solution for authenticating a user. In this solution, a derived identity is generated from the original identity read on the hardware data medium, this derived identity being stored in a mobile terminal of the user in association with a specific data of the user, such as for example a PIN code or password. The authentication of the user is then carried out on the basis of the data stored in the mobile terminal: the user enters on the mobile terminal own data equal to that stored in association with the derived identity. Then, if the input data is correct, the mobile terminal transmits to an authentication server the derived identity stored in the mobile terminal. This solution has the following limitations. First, the derived identity is transmitted from the mobile terminal to the authentication server through the mobile network: the need for this transmission makes it impossible to use the service in the absence of coverage by a mobile network: in particular derived identity can not be obtained. Second, the use of this solution is possible only for certain terminals having sufficient memory and compatible with the execution of an application executed by the security module (for example a SIM card, suscriber identity module) of the terminal mobile, which is both capable of storing the derived identity in the security module and capable of performing authentication based on the stored derivative identity. In addition, such an application must be installed in the mobile terminal prior to the generation of the derived identity in order to be able to store the derived identity and the associated own data according to the procedure described in the aforementioned patent application.

Enfin cette solution impose une contrainte sur le nombre d'identités dérivées pouvant être stockées dans un même module de sécurité et sur la longueur en octets d'une telle identité dérivée: en effet le stockage dans une carte SIM est contraint et limité par la capacité de cette carte SIM. Il faut donc limiter soit le nombre d'identités dérivées, soit leur longueur si on veut que la solution soit compatible avec toutes les cartes SIM quelle que soit leur capacité de stockage. Ceci aurait un impact sur le niveau de sécurité de la solution d'authentification, si le nombre d'octets d'une identité dérivée devait être limité.Finally, this solution imposes a constraint on the number of derived identities that can be stored in the same security module and on the length in bytes of such a derived identity: in fact the storage in a SIM card is constrained and limited by the capacity of this SIM card. It is therefore necessary to limit either the number of identities derived, or their length if we want the solution to be compatible with all SIM cards regardless of their storage capacity. This would have an impact on the security level of the authentication solution, if the number of bytes of a derived identity should be limited.

La présente invention vient améliorer la situation. L'invention concerne selon un premier aspect un procédé d'authentification d'un utilisateur auquel est attribué un support matériel de données, porteur de premières données d'identification représentatives d'une identité d'origine affectée à l'utilisateur, le procédé étant mis en oeuvre par au moins une plateforme d'un système d'authentification. Le procédé d'authentification comprend une phase de génération d'une identité dérivée et une phase de vérification d'identité. Pendant la phase de génération d'une identité dérivée, les étapes suivantes sont exécutées : - une étape de génération, à partir au moins des premières données d'identification, de deuxièmes données d'identification représentatives d'une identité dérivée de l'identité d'origine, - une étape de mémorisation par une dite plateforme des deuxièmes données d'identification en association avec des données de contact d'un objet mobile communicant apte à exécuter une opération d'authentification d'un utilisateur à partir d'au moins une donnée propre à l'utilisateur stockée dans une mémoire de l'objet mobile communicant, Pendant la phase de vérification d'identité, les étapes suivantes sont exécutées : - une étape d'envoi vers l'objet mobile communicant d'un message déclenchant une exécution par l'objet mobile communiquant de l'opération d'authentification à partir d'au moins une donnée propre fournie par l'utilisateur et de ladite au moins une donnée propre à l'utilisateur stockée dans la mémoire de l'objet mobile communicant, - une étape de réception d'un message signalant un succès de ladite opération d'authentification, - une étape de déclenchement, suite à la réception dudit message, d'une étape de vérification d'identité à partir des deuxièmes données d'identification mémorisées par ladite plateforme en association avec la donnée de contact dudit objet communicant. Par « objet mobile communicant », on entend par exemple un équipement capable de communiquer, notamment par messages, via un réseau de télécommunication. Un objet mobile communicant est par exemple un terminal mobile, un téléphone mobile, un smartphone, un assistant personnel, un talkie-walkie, etc. Par « données de contact d'un objet mobile communicant», on entend par exemple des données permettant de communiquer avec l'objet mobile communicant via un réseau de télécommunication, afin de lui transmettre des données et/ou de recevoir des données en provenance de cet objet mobile communicant.The present invention improves the situation. According to a first aspect, the invention relates to a method for authenticating a user who is assigned a hardware data carrier carrying first identification data representative of an original identity assigned to the user, the method being implemented by at least one platform of an authentication system. The authentication method includes a derived identity generation phase and an identity verification phase. During the generation phase of a derived identity, the following steps are performed: a step of generating, from at least the first identification data, second identity data representative of an identity derived from the identity of origin, - a step of storage by a said platform of the second identification data in association with contact data of a communicating mobile object capable of executing an authentication operation of a user from at least a data specific to the user stored in a memory of the communicating mobile object, During the identity verification phase, the following steps are executed: a step of sending to the communicating mobile object a triggering message an execution by the mobile object communicating the authentication operation from at least one own data provided by the user and said at least one data item e specific to the user stored in the memory of the communicating mobile object, - a step of receiving a message signaling a success of said authentication operation, - a triggering step, following the reception of said message, d an identity verification step from the second identification data stored by said platform in association with the contact data of said communicating object. By "communicating mobile object" is meant for example a device capable of communicating, in particular by messages, via a telecommunications network. A communicating mobile object is for example a mobile terminal, a mobile phone, a smartphone, a personal assistant, a walkie-talkie, etc. By "contact data of a communicating mobile object" is meant, for example, data making it possible to communicate with the communicating mobile object via a telecommunication network, in order to transmit data to it and / or to receive data coming from this communicating mobile object.

Lorsque l'objet mobile communicant est un terminal de téléphonie mobile, les données de contact correspondent par exemple au numéro de téléphone (MSISDN, Mobile Station International Subscriber Directory Number, notamment) attribué au terminal, ou un identifiant de la carte SIM (Suscriber Identity Module)/SE (Security Element). Il peut toutefois s'agir, en variante, d'une adresse IP par exemple pour un équipement connecté via un réseau IP (Internet Protocol), ou encore une adresse de courriel (adresse « email »). Par « donnée d'authentification propre à l'utilisateur », on entend par exemple toute information propre à l'utilisateur permettant une authentification de l'utilisateur: par exemple un code personnel d'identification (ou code « PIN »), ou encore une donnée d'identification biométrique (reconnaissance vocale ou d'empreinte digitale, ou d'iris, etc.). Par « identité dérivée », on entend par exemple une donnée d'identité résultant d'une transformation d'une donnée d'identité d'origine. Cette transformation est par exemple une fonction de hachage. Le résultat d'une telle fonction étant non interprétable, cette identité dérivée est en quelque sorte anonyme, car elle ne permet pas de retrouver l'identité d'origine de l'utilisateur. L'identité dérivée est, comme l'identité d'origine, unique et propre à un seul utilisateur : il ne pourra être affecté une même identité dérivée à deux utilisateurs différents. Ainsi il existe une relation biunivoque entre l'identité d'origine et l'identité dérivée.When the communicating mobile object is a mobile telephone terminal, the contact data correspond for example to the telephone number (MSISDN, Mobile Station International Subscriber Directory Number, in particular) allocated to the terminal, or an identifier of the SIM card (Suscriber Identity Module) / SE (Security Element). However, it may be, alternatively, an IP address for example for a device connected via an IP (Internet Protocol) network, or an email address ("email" address). By "user-specific authentication data" is meant, for example, any user-specific information enabling the authentication of the user: for example a personal identification code (or "PIN" code), or even biometric identification data (voice or fingerprint recognition, or iris, etc.). By "derived identity" is meant, for example, an identity data item resulting from a transformation of an original identity data item. This transformation is for example a hash function. The result of such a function being uninterpretable, this derived identity is somehow anonymous, because it does not allow to find the original identity of the user. The derived identity is, like the original identity, unique and unique to a single user: it can not be assigned the same identity derived from two different users. Thus there is a one-to-one relationship between the original identity and the derived identity.

La transformation utilisée pour la génération de l'identité dérivée peut être une fonction déterministe de sorte que, par application de la transformation à l'identité d'origine, il en résulte toujours la même identité dérivée (cette identité dérivée est donc unique pour une transformation donnée) et que cette même identité dérivée puisse être retrouvée de manière certaine par application de cette transformation à l'identité d'origine.The transformation used for the generation of the derived identity can be a deterministic function so that, by applying the transformation to the original identity, it always results in the same derived identity (this derived identity is therefore unique for a given identity). given transformation) and that this same derived identity can be found in a certain way by applying this transformation to the original identity.

La présente invention permet avantageusement de substituer à un support matériel de données un objet mobile communicant de l'utilisateur pour la mise en oeuvre d'une authentification de l'utilisateur. Ainsi la fonction d'authentification de l'identité de l'utilisateur (effectuée habituellement à partir d'une carte bancaire, d'une carte SESAM-Vitale ou autre) est effectuée en deux temps : - au moyen de l'objet mobile communicant en ce qui concerne la première partie de la phase de vérification d'identité, cette première partie comprenant une comparaison d'une donnée d'authentification saisie par un utilisateur avec une donnée d'authentification stockée dans l'objet mobile communicant, et - au moyen de la plateforme en ce qui concerne la deuxième partie de la phase de vérification d'identité, cette deuxième partie comprenant une vérification effectuée sur l'identité dérivée en relation avec l'identité d'origine. Le procédé d'authentification décrit ici repose sur un mécanisme d'authentification forte en ce qu'il est nécessaire pour procéder à cette authentification de plusieurs facteurs d'authentification : 1) d'accéder à l'objet mobile communicant de l'utilisateur, 2) d'obtenir au moins une donnée propre à l'utilisateur, 3) de vérifier l'identité dérivée relativement à l'identité d'origine. Selon ce procédé, n'est plus nécessaire de transmettre l'identité dérivée via un réseau de télécommunication pour effectuer la vérification d'identité. Par exemple, il n'est plus nécessaire de pouvoir communiquer avec l'objet mobile communicant pour pouvoir obtenir l'identité dérivée. Ce qui permet par exemple, en cas d'absence de connexion réseau avec l'objet mobile communicant, de faire appel à un mécanisme d'authentification de l'utilisateur ne nécessitant pas de communiquer via un réseau de télécommunication avec l'objet mobile communicant : par exemple un mécanisme de type défi / réponse (« challenge / response » selon la terminologie anglo-saxonne). Il peut par exemple être procédé à une authentification de l'utilisateur en communiquant avec un terminal via lequel l'utilisateur demande à accéder à un service, en demandant à cet utilisateur d'envoyer au moyen de ce terminal une réponse à un défi proposé sur ce terminal ou sur l'objet mobile communicant. Enfin, puisque les deuxièmes données d'identification représentatives de l'identité dérivée sont stockées dans une plateforme d'authentification et non plus dans le terminal, il n'y a plus de contraintes liées aux capacités limitées de stockage de données de l'objet communicant. La solution est donc applicable à un plus grand nombre d'objet mobile communicant. Dans un mode de réalisation du procédé d'authentification, la génération des deuxièmes données d'identification est effectuée en outre à partir de ladite donnée de contact et/ou d'un identifiant d'un module de sécurité présent dans l'objet mobile communicant et/ou d'une donnée propre à l'objet mobile communicant. Ceci permet de lier fortement l'identité dérivée à l'objet mobile communicant, en ce qu'il est possible de vérifier si l'identité dérivée a été générée pour un objet mobile communicant donné ou un autre objet mobile communicant par analyse de cette identité dérivée. Par exemple, lorsque la transformation utilisée pour générer l'identité dérivée est déterministe, il suffit de régénérer cette identité dérivée à partir de l'identité d'origine et d'une donnée de contact d'un objet mobile communicant puis de comparer cette identité dérivée à celle mémorisée dans la plateforme. Dans un mode de réalisation, le procédé d'authentification comprend en outre une étape d'envoi vers l'objet mobile communicant d'un message comprenant des données d'installation d'une application logicielle d'authentification à exécuter par l'objet mobile communicant, ladite application logicielle d'authentification étant conçue pour exécuter ladite opération d'authentification. Ceci permet une installation automatisée de l'application logicielle dans l'objet mobile communicant. Aucune configuration préalable de l'objet communicant n'est en outre requise. Dans un mode de réalisation du procédé d'authentification, les deuxièmes données d'identification sont mémorisées par une dite plateforme, par exemple une plateforme opérateur, en association avec les premières données d'identification. L'identité d'origine peut ainsi être retrouvée à partir d'une part, de l'association mémorisée entre la donnée de contact et l'identité dérivée, d'autre part, de l'association mémorisée entre l'identité dérivée et l'identité d'origine. Cette identité d'origine peut donc être retrouvée même en l'absence d'une connexion réseau avec l'objet mobile communicant. Dans un mode de réalisation du procédé d'authentification, ladite étape de vérification d'identité comprend une vérification de non répudiation de l'identité d'origine à partir des premières données d'identification mémorisées en association avec les deuxièmes données d'identification. L'identité d'origine est ainsi le moyen de contrôler la non répudiation et la validité des identités. Ceci rend la solution d'authentification applicable à tous les systèmes dans lesquelles on dispose déjà d'un système de gestion des identités qui assure le contrôle de l'authenticité, non répudiation et la validité des identités affectées à des utilisateurs. Dans un mode de réalisation du procédé d'authentification, ladite étape de vérification d'identité comprend une vérification des deuxièmes données d'identification mémorisées en association avec la donnée de contact dudit objet mobile communicant. Cette vérification est effectuée par exemple en recherchant si les deuxièmes données d'identification mémorisées en association avec la donnée de contact dudit objet mobile communicant sont par ailleurs mémorisées en association avec des premières données d'identification représentatives d'une identité d'origine. Ainsi par comparaison, sur la base des deux associations mémorisées, on peut vérifier l'identité dérivée, notamment l'intégrité de cette identité dérivée. Dans un mode de réalisation, le procédé d'authentification comprend en outre lors de l'exécution de ladite opération d'authentification: - une interrogation de l'utilisateur pour demander à l'utilisateur de fournir au moins une donnée propre à l'utilisateur, - une vérification de ladite au moins une donnée propre fournie par l'utilisateur par comparaison avec ladite au moins une donnée propre à l'utilisateur stockée dans la mémoire de l'objet mobile communicant. Dans un mode de réalisation du procédé d'authentification, les premières données d'identification sont lues par un lecteur dudit support matériel de données puis transmises vers un serveur de gestion d'identité pour vérification desdites premières données d'identification. Ceci permet de s'assurer qu'une identité dérivée ne pourra être obtenue pour une identité d'origine non valide ou répudiée. Dans un mode de réalisation du procédé d'authentification, les deuxièmes données d'identification sont ainsi générées sous condition de vérification de l'intégrité desdites premières données d'identification obtenues.The present invention advantageously makes it possible to substitute for a hardware data carrier a mobile object communicating with the user for the implementation of an authentication of the user. Thus the authentication function of the identity of the user (usually performed from a bank card, a SESAM-Vitale card or other) is performed in two stages: - by means of the communicating mobile object with regard to the first part of the identity verification phase, this first part comprising a comparison of an authentication data input by a user with an authentication data stored in the communicating mobile object, and - at means of the platform with respect to the second part of the identity verification phase, this second part comprising a verification performed on the derived identity in relation to the original identity. The authentication method described here is based on a strong authentication mechanism in that it is necessary to perform this authentication of several authentication factors: 1) to access the communicating mobile object of the user, 2) to obtain at least one data specific to the user; 3) to verify the derived identity relative to the original identity. According to this method, it is no longer necessary to transmit the derived identity via a telecommunication network to perform the identity verification. For example, it is no longer necessary to be able to communicate with the communicating mobile object in order to obtain the derived identity. This makes it possible, for example, in the absence of a network connection with the communicating mobile object, to call upon an authentication mechanism of the user that does not need to communicate via a telecommunications network with the communicating mobile object. : for example a challenge / response type mechanism ("challenge / response" according to the English terminology). For example, the user may be authenticated by communicating with a terminal via which the user requests access to a service, by asking the user to send by means of this terminal an answer to a proposed challenge on a terminal. this terminal or on the communicating mobile object. Finally, since the second identifying data representative of the derived identity is stored in an authentication platform and no longer in the terminal, there are no longer any constraints related to the limited data storage capacities of the object. communicating. The solution is therefore applicable to a larger number of communicating mobile objects. In one embodiment of the authentication method, the generation of the second identification data is performed further from said contact data and / or an identifier of a security module present in the communicating mobile object. and / or data specific to the communicating mobile object. This makes it possible to strongly link the derived identity to the communicating mobile object, in that it is possible to check whether the derived identity has been generated for a given communicating mobile object or another communicating mobile object by analysis of this identity. derivative. For example, when the transformation used to generate the derived identity is deterministic, it is sufficient to regenerate this derived identity from the original identity and a contact data of a communicating mobile object and then to compare this identity. derived from that stored in the platform. In one embodiment, the authentication method further comprises a step of sending to the communicating mobile object a message comprising installation data of an authentication software application to be executed by the mobile object. communicating, said authentication software application being designed to perform said authentication operation. This allows an automated installation of the software application in the communicating mobile object. No prior configuration of the communicating object is further required. In one embodiment of the authentication method, the second identification data are stored by a said platform, for example an operator platform, in association with the first identification data. The original identity can thus be found on the one hand, of the association memorized between the contact data and the derived identity, on the other hand, of the association memorized between the derived identity and the identity of origin. This original identity can therefore be found even in the absence of a network connection with the communicating mobile object. In one embodiment of the authentication method, said identity verification step includes a non-repudiation verification of the original identity from the first identification data stored in association with the second identification data. The original identity is thus the means of controlling non-repudiation and the validity of identities. This makes the authentication solution applicable to all systems where there is already an identity management system that ensures the authenticity check, non-repudiation and validity of the identities assigned to users. In one embodiment of the authentication method, said identity verification step comprises a verification of the second identification data stored in association with the contact data of said communicating mobile object. This verification is performed for example by checking whether the second identification data stored in association with the contact data of said communicating mobile object are also stored in association with first identification data representative of an original identity. Thus by comparison, on the basis of the two memorized associations, it is possible to verify the derived identity, in particular the integrity of this derived identity. In one embodiment, the authentication method further comprises, during the execution of said authentication operation: a query of the user to ask the user to provide at least one piece of data specific to the user - A verification of said at least one own data provided by the user by comparison with said at least one data specific to the user stored in the memory of the communicating mobile object. In one embodiment of the authentication method, the first identification data is read by a reader of said hardware data medium and then transmitted to an identity management server for verification of said first identification data. This ensures that a derived identity can not be obtained for an invalid or repudiated origin identity. In one embodiment of the authentication method, the second identification data is thus generated under the condition of verifying the integrity of said first identification data obtained.

Dans un mode de réalisation, le procédé d'authentification comprend en outre, en cas de succès de l'étape de vérification d'identité, une étape de génération d'une clef cryptographique propre à l'utilisateur destinée à être utilisée pour signer et/ou chiffrer numériquement des données. Ceci permet à l'utilisateur de bénéficier d'un système d'audit / de traçabilité des opérations qu'il demande à effectuer lorsqu'il a été authentifié. Une association entre cette clef cryptographique et l'identité d'origine et / ou l'identité dérivée peut être créée soit pour une transaction donnée effectuée suite à une authentification mise en oeuvre au moyen du procédé d'authentification selon l'invention, soit pour un ensemble de transactions, chacun de ses transactions requérant le mise en oeuvre préalable du procédé d'authentification selon l'invention. Les différents modes de réalisation mentionnés ci-dessus sont combinables entre eux pour la mise en oeuvre de l'invention. L'invention concerne, selon un deuxième aspect, une plateforme pour la mise en oeuvre d'un procédé d'authentification d'un utilisateur auquel est attribué un support matériel de données, porteur de premières données d'identification représentatives d'une identité d'origine affectée à l'utilisateur, la plateforme comportant: - des moyens de génération, à partir au moins des premières données d'identification, de deuxièmes données d'identification représentatives d'une identité dérivée de l'identité d'origine, - des moyens de mémorisation des deuxièmes données d'identification en association avec des données de contact d'un objet mobile communicant apte à exécuter une opération d'authentification d'un utilisateur à partir d'au moins une donnée propre à l'utilisateur stockée dans une mémoire de l'objet mobile communicant, - des moyens d'envoi vers l'objet mobile communicant d'un message déclenchant une exécution par l'objet mobile communiquant de l'opération d'authentification à partir d'au moins une donnée propre fournie par l'utilisateur et de ladite au moins une donnée propre à l'utilisateur stockée dans la mémoire de l'objet mobile communicant, - des moyens de réception d'un message signalant un succès de ladite opération d'authentification, - des moyens de déclenchement d'une étape de vérification d'identité à partir des deuxièmes données d'identification mémorisées par ladite plateforme en association avec la donnée de contact dudit objet communicant. Les avantages énoncés pour le procédé d'authentification selon l'invention sont transposables directement à la plateforme selon l'invention. L'invention concerne, selon un troisième aspect, un objet mobile communicant d'un utilisateur auquel est attribué un support matériel de données, porteur de premières données d'identification représentatives d'une identité d'origine affectée à l'utilisateur, ledit objet mobile comprenant - des moyens pour exécuter une opération d'authentification d'un utilisateur à partir d'au moins une donnée propre à l'utilisateur stockée dans une mémoire de l'objet mobile communicant, - des moyens de réception, en provenance d'une plateforme d'un système d'authentification, d'un message déclenchant une exécution par l'objet mobile communiquant de l'opération d'authentification à partir d'au moins une donnée propre fournie par l'utilisateur et de ladite au moins une donnée propre à l'utilisateur stockée dans la mémoire de l'objet mobile communicant, - des moyens d'envoi à ladite plateforme d'un message signalant un succès de ladite opération d'authentification, ledit message déclenchant une étape de vérification d'identité à partir de deuxièmes données d'identification, représentatives d'une identité dérivée de l'identité d'origine, mémorisées en association avec des données de contact dudit objet mobile communicant par ladite plateforme. L'invention concerne, selon un quatrième aspect, un terminal comprenant un objet mobile communicant selon l'invention. Les avantages énoncés pour le procédé d'authentification selon l'invention sont transposables directement à la plateforme, à l'objet communicant et au terminal selon l'invention.In one embodiment, the authentication method further comprises, in case of success of the identity verification step, a step of generating a cryptographic key specific to the user to be used to sign and / or numerically encrypt data. This allows the user to benefit from an audit / traceability system for the operations that he requests to perform when he has been authenticated. An association between this cryptographic key and the original identity and / or the derived identity can be created either for a given transaction performed following authentication implemented by means of the authentication method according to the invention, or for a set of transactions, each of its transactions requiring the prior implementation of the authentication method according to the invention. The various embodiments mentioned above are combinable with each other for the implementation of the invention. According to a second aspect, the invention relates to a platform for implementing a user authentication method to which a hardware data medium is allocated, carrying first identification data representative of an identity of a user. the origin assigned to the user, the platform comprising: means for generating, from at least the first identification data, second identification data representative of an identity derived from the original identity; means for storing the second identification data in association with contact data of a communicating mobile object capable of executing a user authentication operation from at least one data specific to the user stored in a memory of the communicating mobile object; means for sending to the communicating mobile object a message triggering an execution by the mobile object communicating with the op authentication eeration from at least one own data provided by the user and from said at least one data specific to the user stored in the memory of the communicating mobile object, means for receiving a message signaling a success of said authentication operation, - means for triggering an identity verification step from the second identification data stored by said platform in association with the contact data of said communicating object. The advantages stated for the authentication method according to the invention can be directly transposed to the platform according to the invention. According to a third aspect, the invention relates to a communicating mobile object of a user to whom is assigned a hardware data carrier, carrying first identification data representative of an original identity assigned to the user, said object mobile device comprising - means for executing a user authentication operation from at least one user-specific data stored in a memory of the communicating mobile object, - receiving means, originating from a platform of an authentication system, a message triggering an execution by the mobile object communicating the authentication operation from at least one own data provided by the user and said at least one data specific to the user stored in the memory of the communicating mobile object, means for sending to said platform a message signaling a success of said authentication operation, said ssage triggering an identity verification step from second identification data, representative of an identity derived from the original identity, stored in association with contact data of said moving object communicating by said platform. The invention relates, according to a fourth aspect, to a terminal comprising a communicating mobile object according to the invention. The advantages stated for the authentication method according to the invention can be directly transposed to the platform, to the communicating object and to the terminal according to the invention.

Selon une implémentation, les différentes étapes du procédé d'authentification sont mises en oeuvre par un logiciel ou programme d'ordinateur. L'invention concerne ainsi un logiciel ou programme, susceptible d'être exécuté par un ordinateur ou par un processeur de données, ce logiciel / programme comportant des instructions pour commander l'exécution des étapes d'un procédé d'authentification. Ces instructions sont destinées à être stockées dans une mémoire d'un dispositif informatique, chargées puis exécutées par un processeur de ce dispositif informatique. Ce logiciel / programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme 30 souhaitable. Le dispositif informatique peut être mis en oeuvre par une ou plusieurs machines physiquement distinctes et présente globalement l'architecture d'un ordinateur, incluant des constituants d'une telle architecture: mémoire(s) de données, processeur(s), bus de communication, interface(s) matérielle(s) pour la connexion de ce dispositif informatique à un 35 réseau ou un autre équipement, interface(s) utilisateur, etc. L'invention concerne aussi un support d'informations comportant des instructions d'un programme tel que mentionné ci-dessus. Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Dans un mode de réalisation, les différentes étapes du procédé d'authentification sont mises en oeuvre par un ensemble d'au moins une plateforme, constituant un système d'authentification, chaque plateforme de cet ensemble étant dotée des moyens suivants: - des moyens de stockage, notamment une mémoire, pour le stockage d'instructions de programme conçues pour commander l'exécution des étapes d'un procédé d'authentification; - des moyens de traitement de données, comprenant notamment un processeur de données, apte à exécuter les instructions de programme stockées afin de mettre en oeuvre les étapes correspondantes du procédé d'authentification. Chaque plateforme de ce système d'authentification comprend des moyens de mise en oeuvre d'au moins certaines étapes du procédé d'authentification selon ce qui est décrit ci-dessous pour la plateforme concernée. Ces moyens sont des modules logiciels (software) et/ou matériels (hardware). Dans cette optique, le terme "module" correspond dans ce document à un composant logiciel, à un composant matériel ou bien à un ensemble de composants matériels et/ou logiciels, apte à mettre en oeuvre une fonction ou un ensemble de fonctions, selon ce qui est décrit ci-dessous pour le module concerné.According to one implementation, the different steps of the authentication method are implemented by a software or computer program. The invention thus relates to a software or program that can be executed by a computer or by a data processor, this software / program comprising instructions for controlling the execution of the steps of an authentication method. These instructions are intended to be stored in a memory of a computing device, loaded and then executed by a processor of this computing device. This software / program can use any programming language, and be in the form of source code, object code, or intermediate code between source code and object code, such as in a partially compiled form, or in any form what other desirable form. The computing device can be implemented by one or more physically distinct machines and generally presents the architecture of a computer, including components of such an architecture: data memory (s), processor (s), communication bus hardware interface (s) for connecting this computing device to a network or other equipment, user interface (s), etc. The invention also relates to an information carrier comprising instructions of a program as mentioned above. The information carrier may be any entity or device capable of storing the program. In one embodiment, the different steps of the authentication method are implemented by a set of at least one platform constituting an authentication system, each platform of this set being endowed with the following means: storage, especially memory, for storing program instructions designed to control the execution of the steps of an authentication method; - Data processing means, including a data processor, capable of executing the stored program instructions to implement the corresponding steps of the authentication method. Each platform of this authentication system comprises means for implementing at least some steps of the authentication method as described below for the platform concerned. These means are software modules (software) and / or hardware (hardware). In this context, the term "module" corresponds in this document to a software component, to a hardware component or to a set of hardware and / or software components, able to implement a function or a set of functions, according to what which is described below for the module concerned.

D'autres buts, caractéristiques et avantages de l'invention apparaîtront à travers la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite par référence aux dessins annexés dans lesquels: - la figure 1 illustre schématiquement les échanges entres des plateformes du système 25 d'authentification pour la mise en oeuvre d'une phase d'enrôlement du procédé d'authentification, - la figure 2 illustre schématiquement les échanges entres des plateformes du système d'authentification pour la mise en oeuvre d'une phase d'authentification du procédé d'authentification. 30 Le procédé d'authentification est utilisable pour authentifier un utilisateur demandant l'accès à un ou plusieurs services. Cet utilisateur U1 est porteur d'un support matériel de données SM1, comprenant des premières données d'identification DI01, représentatives d'une identité d'origine I01 affectée à l'utilisateur U1. 35 Le support matériel de données SM1 constitue un support d'identité. Il peut s'agir par exemple d'une carte personnelle portant un composant de sécurité, par exemple une carte de paiement, une carte bancaire, ou plus généralement une carte à puce donnant accès à des droits, telle que par exemple une carte SESAM-Vitale ouvrant, en France, droit à des soins de santé. En variante, il peut s'agir d'une pièce d'identité numérique (passeport, éventuellement biométrique, ou autre). Il peut également s'agir d'une carte avec un composant radio RFID (Radio Frequency Identification) ou NFC (Near Field Contact) adapté pour une lecture en champ proche. Un tel support matériel SM1 de données est conçu pour être lu par un appareil de lecture LC, par exemple un lecteur de carte à puce, une borne de lecture RFID ou NFC ou un lecteur dédié capable d'obtenir du support tout ou partie des données qui y sont stockées. L'accès aux données stockées dans le support matériel SM1 peut être sécurisé, par exemple nécessiter la saisie sur une interface utilisateur d'un appareil de lecture LC du support d'un code / mot de passe, propre à un utilisateur. Le procédé d'authentification est utilisable pour authentifier un utilisateur avant d'autoriser l'accès à un ou plusieurs services. Un tel service peut être un service d'accès à des données bancaires, ou à des données d'un dossier médical, ou autres données. Un service précité peut également être un service d'exécution d'une transaction électronique. Généralement, l'accès au service et/ou aux données est autorisé après vérification du support matériel de données SM1. Des droits d'accès sont définis pour cet utilisateur et mémorisés en association avec l'identité d'origine 101 représentée par les premières données d'identification DIO1 stockées dans le support matériel de données SM1. Le procédé d'authentification qui est décrit dans ce document permet d'authentifier un utilisateur au moyen d'un objet mobile communicant T1 de l'utilisateur Ul, utilisé en lieu et place du support matériel de données SM1, et de vérifier s'il bénéficie des droits nécessaires pour l'accès au service demandé ou pour l'exécution de la transaction demandée en retrouvant l'identité d'origine à partir de l'objet mobile communicant T1. Le procédé d'authentification repose notamment sur la réalisation d'une association entre l'objet mobile communicant T1 et le support matériel de données SM1, au moyen d'une identité dérivée ID1 de l'identité d'origine I01. Cette identité dérivée ID1 sert de lien logique entre l'objet mobile communicant T1 et le support matériel de données SM1.Other objects, features and advantages of the invention will become apparent from the description which follows, given solely by way of nonlimiting example, and with reference to the appended drawings in which: FIG. 1 schematically illustrates the exchanges between authentication system platforms for implementing an enrollment phase of the authentication method; FIG. 2 diagrammatically illustrates the exchanges between authentication system platforms for the implementation of an authentication scheme; authentication phase of the authentication method. The authentication method is operable to authenticate a user requesting access to one or more services. This user U1 carries a hardware data medium SM1, comprising first identification data DI01, representative of an original identity I01 assigned to the user U1. The hardware data medium SM1 constitutes an identity medium. This may be for example a personal card carrying a security component, for example a credit card, a credit card, or more generally a chip card giving access to rights, such as for example a SESAM card. Vitale opening, in France, right to health care. Alternatively, it may be a piece of digital identity (passport, possibly biometric, or other). It can also be a card with a RFID radio component (Radio Frequency Identification) or NFC (Near Field Contact) adapted for near-field reading. Such hardware data support SM1 is designed to be read by an LC reader, for example a smart card reader, an RFID or NFC reading terminal or a dedicated reader capable of obtaining all or part of the data support. which are stored there. Access to the data stored in the hardware support SM1 can be secured, for example requiring the user interface of a user-specific code / password support LC read device. The authentication method can be used to authenticate a user before allowing access to one or more services. Such a service may be an access service to bank data, or data from a medical file, or other data. An aforementioned service may also be an execution service of an electronic transaction. Generally, access to the service and / or data is authorized after verification of the hardware data medium SM1. Access rights are defined for this user and stored in association with the original identity 101 represented by the first identification data DIO1 stored in the hardware data medium SM1. The authentication method that is described in this document makes it possible to authenticate a user by means of a communicating mobile object T1 of the user U1, used instead of the hardware data support SM1, and to verify whether has the necessary rights for access to the requested service or for the execution of the requested transaction by finding the original identity from the communicating mobile object T1. The authentication method is based notably on the realization of an association between the communicating mobile object T1 and the hardware data medium SM1, by means of a derived identity ID1 of the original identity I01. This ID1 derived identity serves as a logical link between the communicating mobile object T1 and the hardware data medium SM1.

Le procédé d'authentification est mis en oeuvre au moyen d'un système d'authentification comprenant plusieurs plateformes coopérant entre elles et communiquant au travers d'au moins un réseau de télécommunication, par exemple au travers du réseau Internet. Ce système d'authentification comprend ainsi une plateforme d'association PFass, qui reçoit les demandes d'inscription / désinscription d'un utilisateur au système d'authentification et procède à un enregistrement d'une association entre une identité dérivée et une identité d'origine, - une plateforme opérateur PFop, apte à communiquer avec un objet mobile communicant T1 au travers d'un réseau de télécommunication Rop, par exemple au travers d'un réseau de téléphonie mobile, et qui mémorise, pour chaque objet mobile communicant T1 autorisé à utiliser le service, une association entre une donnée de contact DC1 de cet objet mobile communicant T1 et une identité dérivée associée; - une plateforme frontale PFin, qui reçoit les demandes d'authentification pour l'accès à un service; - une plateforme de gestion d'identité PFgi, qui gère et stocke dans une base de données les identités d'origine affectées aux différents utilisateurs et est en charge de la vérification de ces identités d'origine, ainsi que de leur éventuelle répudiation ; - une plateforme de service PFse pour l'accès à un service Ces différentes plateformes communiquent entre elles au travers d'un réseau de télécommunication, par exemple au travers du réseau Internet ou d'un réseau privé. Elles utilisent un protocole de communication compatible avec ce réseau pour se transmettre des messages, par exemple protocole http ou autre. Ces différentes plateformes peuvent être distinctes physiquement ou bien intégrées dans un même équipement physique unique. Plus généralement, les différentes fonctions décrites pour ces différentes plateformes peuvent être mises en oeuvre dans un ou plusieurs équipements physiquement distincts et réparties selon les besoins entre ces équipements physiques.The authentication method is implemented by means of an authentication system comprising several platforms cooperating with each other and communicating through at least one telecommunications network, for example through the Internet. This authentication system thus comprises a PFass association platform, which receives the requests for registration / unsubscription of a user to the authentication system and proceeds to register an association between a derived identity and an identity of origin, - a PFop operator platform, able to communicate with a communicating mobile object T1 through a telecommunication network Rop, for example through a mobile telephone network, and which stores, for each communicating object T1 communicating authorized using the service, an association between a contact data DC1 of this communicating mobile object T1 and an associated derived identity; a front-end PFin platform, which receives authentication requests for access to a service; a PFgi identity management platform, which manages and stores in a database the original identities assigned to the different users and is responsible for verifying these original identities, as well as their possible repudiation; - a service platform PFse for access to a service These different platforms communicate with each other through a telecommunication network, for example through the Internet or a private network. They use a communication protocol compatible with this network to transmit messages, for example http protocol or other. These different platforms can be physically separate or integrated into a single physical device. More generally, the various functions described for these different platforms can be implemented in one or more physically separate equipment and distributed as needed between these physical devices.

Chaque plateforme du système d'authentification est une entité réseau, localisée dans une infrastructure réseau, plateforme de service ou serveur informatique, mettant en oeuvre pour une pluralité d'utilisateurs les fonctionnalités de service décrites dans ce document pour cette plateforme. La plateforme opérateur PFop est par exemple localisée dans une infrastructure réseau d'un opérateur de réseau. La plateforme de gestion d'identité PFgi est par exemple localisée dans une infrastructure réseau d'une société gérant les identités d'origine. Phase d'enrôlement et d'association Le procédé d'authentification comprend une première phase, dite d'enrôlement, lors de laquelle une identité dérivée est affectée à un utilisateur U1. Pour la mise en oeuvre de cette première phase, l'utilisateur U1 doit être doté du support matériel de données SM1 et de l'objet mobile communicant T1 entre lesquels une association sera effectuée. L'objet mobile communicant T1 est équipé d'un module de sécurité, comprenant une mémoire permettant de stocker de manière sécurisée des données, un microcontrôleur capable d'exécuter une application logicielle d'authentification. Ce module de sécurité est par exemple une carte à puce de type SIM (Subscriber Identity Module), USIM (Universal Subscriber Identity Module) ou SE (Secure Element).Each platform of the authentication system is a network entity, located in a network infrastructure, service platform or computer server, implementing for a plurality of users the service features described in this document for this platform. The operator platform PFop is for example located in a network infrastructure of a network operator. The PFgi identity management platform is for example located in a network infrastructure of a company managing the original identities. Enrollment and association phase The authentication method comprises a first phase, called enrollment phase, during which a derived identity is assigned to a user U1. For the implementation of this first phase, the user U1 must be provided with the hardware data medium SM1 and the communicating mobile object T1 between which an association will be made. The communicating mobile object T1 is equipped with a security module, comprising a memory for securely storing data, a microcontroller capable of executing an authentication software application. This security module is for example a SIM card type (Subscriber Identity Module), USIM (Universal Subscriber Identity Module) or SE (Secure Element).

Cette première phase comprend les étapes E100 à E180. Lors de l'étape E100, un utilisateur se connecte à la plateforme d'association PFass et formule une demande d'inscription au système d'authentification. Pour cela, l'utilisateur utilise un appareil de lecture LC du support matériel de données SM1 sur lequel sont stockées des premières données d'identification DIO1 représentatives d'une identité d'origine I01. L'appareil de lecture LC est connecté avec la plateforme d'association PFass qui met en oeuvre un service d'inscription: l'appareil de lecture LC lit les premières données d'identification DIO1 stockées dans le support matériel de données SM1, et les transmet à la plateforme d'association PFass avec la demande d'inscription au système d'authentification. La lecture de ces données stockées dans le support matériel de données SM1 peut être conditionnée à la saisie par l'utilisateur d'un code ou mot de passe propre à cet utilisateur. La plateforme d'association PFass procède ensuite à la vérification (étape E110) de l'identité d'origine 101 préalablement à la génération d'une identité dérivée ID1. Lors de l'étape E110, la plateforme d'association PFass transmet les premières données d'identification DIO1 à la plateforme de gestion d'identité PFgi pour vérification de la validité des premières données d'identification DI01. La plateforme de gestion d'identité PFgi vérifie si ces premières données d'identification DIO1 sont valides, en particulier qu'elles figurent bien dans une liste de données d'identité valides et que l'identité d'origine 101 représentée par ces données n'a pas été répudiée. Si c'est bien le cas, la plateforme de gestion d'identité PFgi renvoie un message à la plateforme d'association PFass pour lui indiquer que les premières données d'identification DIO1 transmises sont valides. Dans le cas contraire, le procédé d'authentification se termine avec l'envoi par la plateforme d'association PFass d'un message informant l'utilisateur U1 de la non validité de l'identité d'origine 101 stockée sur le support matériel de données SM1.This first phase comprises steps E100 to E180. In step E100, a user connects to the PFass association platform and makes a registration request to the authentication system. For this, the user uses a LC read device hardware data support SM1 on which are stored first DIO1 identification data representative of an original identity I01. The LC read device is connected with the PFass association platform which implements a registration service: the LC read device reads the first identification data DIO1 stored in the hardware data medium SM1, and the transmits to the PFass association platform with the registration request to the authentication system. The reading of these data stored in the hardware data medium SM1 may be conditioned on the user entering a code or password specific to this user. The PFass association platform then proceeds to the verification (step E110) of the original identity 101 prior to the generation of a derived identity ID1. In step E110, the PFass association platform transmits the first identification data DIO1 to the identity management platform PFgi for verification of the validity of the first identification data DI01. The identity management platform PFgi checks whether these first identification data DIO1 are valid, in particular that they appear in a list of valid identity data and that the original identity 101 represented by these data n has not been repudiated. If this is the case, the PFgi identity management platform sends a message to the PFass association platform to indicate that the first DIO1 identification data transmitted is valid. In the opposite case, the authentication process ends with the sending by the PFass association platform of a message informing the user U1 of the invalidity of the original identity 101 stored on the hardware support of SM1 data.

Lors de l'étape E120, lorsque les premières données d'identification DIO1 sont valides, la plateforme d'association PFass demande à l'utilisateur U1 d'entrer au moins une donnée de contact DC1 de l'objet mobile communicant T1 : soit un identifiant associé de manière biunivoque à l'objet mobile communicant T1, soit un identifiant associé de manière biunivoque au module de sécurité de cet objet mobile communicant Tl.In step E120, when the first identification data DIO1 is valid, the association platform PFass asks the user U1 to enter at least one contact data DC1 of the communicating mobile object T1: identifier associated in a one-to-one way with the communicating mobile object T1, ie an identifier associated one-to-one with the security module of this communicating mobile object Tl.

Lors de l'étape E130, l'utilisateur U1 fournit les données de contact demandées. En pratique, lorsque l'objet mobile communicant T1 est un terminal de téléphonie et que le module de sécurité est une carte SIM / USIM / SE ou équivalent, l'utilisateur U1 saisit par exemple le MSISDN (Mobile Station International Subscriber Directory Number) de son terminal de téléphonie mobile ou un identifiant de la carte SIM / SE ou une autre donnée de contact DC1 permettant d'identifier l'objet mobile communicant T1 et d'établir une communication avec cet objet mobile communicant Ti. La saisie de la donnée de contact DC1 peut être effectuée au moyen d'un clavier présent sur l'appareil de lecture LC. A défaut, une connexion pourra être établie par l'objet mobile communiquant avec la plateforme d'association PFass et la saisie sera effectuée au moyen d'une interface de saisie de cet objet mobile communicant T1.In step E130, the user U1 provides the requested contact data. In practice, when the communicating mobile object T1 is a telephony terminal and the security module is a SIM / USIM / SE card or the like, the user U1 for example enters the Mobile Station International Subscriber Directory Number (MSISDN). its mobile telephone terminal or an identifier of the SIM / SE card or other contact data DC1 making it possible to identify the communicating mobile object T1 and to establish a communication with this communicating mobile object Ti. The input of the contact data DC1 can be effected by means of a keyboard present on the LC reading apparatus. Failing this, a connection may be established by the mobile object communicating with the PFass association platform and the input will be performed by means of an input interface of this communicating mobile object T1.

Dans un mode de réalisation, les étapes E140 et E150 sont ajoutées avant exécution de l'étape E160 pour vérification que la donnée de contact DC1 fournie est bien correcte. Lors de l'étape E140, afin de vérifier que la donnée de contact DC1 saisie pour l'objet mobile communicant T1 est correcte, un message est envoyé sur demande de la plateforme d'association PFass vers l'objet mobile communicant T1 identifié par cette donnée de contact DC1 par l'intermédiaire de la plateforme opérateur PFop et du réseau de télécommunication Rop associé. Ce message peut être un SMS, par exemple conforme à la norme ETSI 102 225 : le message est soit un message interprété par une application exécutée dans le module de sécurité pour son affichage, soit un simple SMS texte. Ce message contient par exemple un code, par exemple numérique, généré aléatoirement, que l'utilisateur doit ensuite saisir sur l'appareil de lecture LC et/ou son objet mobile communicant T1. A l'étape E150, le code saisi est transmis par l'appareil de lecture LC et/ou l'objet mobile communicant T1 vers la plateforme d'association PFass ou la plateforme opérateur PFop qui y est connectée pour vérification que le code saisi est bien identique au code envoyé.In one embodiment, steps E140 and E150 are added before executing step E160 to verify that the DC1 contact data supplied is correct. During step E140, in order to verify that the contact data DC1 entered for the communicating mobile object T1 is correct, a message is sent on request from the PFass association platform to the communicating mobile object T1 identified by this DC1 contact data via the PFop operator platform and the associated Rop telecommunication network. This message may be an SMS, for example compliant with the ETSI 102 225 standard: the message is either a message interpreted by an application executed in the security module for its display, or a simple text message. This message contains for example a code, for example numeric, generated randomly, that the user must then enter on the LC read device and / or its communicating mobile object T1. In step E150, the code entered is transmitted by the LC read device and / or the communicating mobile object T1 to the PFass association platform or the operator platform PFop connected thereto for verification that the code entered is identical to the code sent.

A l'étape E160, si le code saisi est bien identique au code envoyé, la plateforme d'association PFass envoie ensuite, par l'intermédiaire de la plateforme opérateur PFop et d'un réseau de télécommunication Rop associé, un message vers l'objet mobile communicant T1. Le message est par exemple un message SMS (Short Message Service) envoyé en utilisant la technologie OTA (« over the air ») qui permet de mettre à jour ou d'enrichir les services / applications mis en oeuvre par une carte SIM. Cette technologie est décrite notamment dans la spécification TS 31.115 définie par l'organisme 3GPP (« Third Generation Partnership Project ») ou plus globalement dans la spécification ETSI TS 102 225. Tous les terminaux mobiles utilisant une carte SIM sont compatibles avec de tels messages. Dans un mode de réalisation, ce message contient des données d'installation d'une application logicielle d'authentification, exécutable par l'objet mobile communicant T1, notamment par le module de sécurité de l'objet mobile communicant T1. Ces données d'installation sont par exemple constituées par un lien hypertexte. Lorsque, à réception de ce message sécurisé, l'utilisateur clique sur le lien hypertexte, le processus de téléchargement et d'installation de l'application logicielle d'authentification dans le module de sécurité est déclenché automatiquement. A l'étape E165, à réception de ce message, l'application logicielle d'authentification est installée dans l'objet mobile communicant T1, notamment dans le module de sécurité de l'objet mobile communicant T1. Au moins une donnée propre à l'utilisateur est également stockée dans l'objet mobile communicant T1, notamment dans le module de sécurité de l'objet mobile communicant T1.In step E160, if the code entered is identical to the code sent, the PFass association platform then sends, via the operator platform PFop and an associated telecommunication network Rop, a message to the communicating mobile object T1. The message is for example an SMS message (Short Message Service) sent using the OTA technology ("over the air") which allows to update or enrich the services / applications implemented by a SIM card. This technology is described in particular in the specification TS 31.115 defined by the organization 3GPP ("Third Generation Partnership Project") or more generally in the specification ETSI TS 102 225. All mobile terminals using a SIM card are compatible with such messages. In one embodiment, this message contains installation data of an authentication software application, executable by the communicating mobile object T1, in particular by the security module of the communicating mobile object T1. This installation data is for example constituted by a hypertext link. When, upon receipt of this secure message, the user clicks on the hypertext link, the process of downloading and installing the authentication software application in the security module is triggered automatically. In step E165, upon receipt of this message, the authentication software application is installed in the communicating mobile object T1, in particular in the security module of the communicating mobile object T1. At least one data specific to the user is also stored in the communicating mobile object T1, in particular in the security module of the communicating mobile object T1.

Une première association est ainsi matérialisée dans l'objet mobile communicant T1 entre cet objet mobile communicant T1 et l'utilisateur (au moins une donnée propre à l'utilisateur). La donnée propre à l'utilisateur peut être - générée par la plateforme d'association PFass ou la plateforme opérateur PFop puis incorporée dans le message envoyé à l'étape E160 pour être mémorisée par l'application logicielle d'authentification après son installation et communiquée à l'utilisateur par cette application logicielle, ou - générée par la la plateforme d'association PFass ou la plateforme opérateur PFop puis encodée directement dans le code logiciel de l'application logicielle d'authentification à télécharger et communiquée à l'utilisateur par cette application logicielle, ou - entrée sur une interface utilisateur de l'objet mobile communicant T1 de l'utilisateur après installation de l'application logicielle d'authentification et exécution d'une fonction d'activation d'une interface utilisateur d'entrée de cette donnée propre.A first association is thus materialized in the communicating mobile object T1 between this communicating mobile object T1 and the user (at least one data specific to the user). The user-specific data may be generated by the PFass association platform or the PFop operator platform and then incorporated in the message sent in step E160 to be stored by the authentication software application after its installation and communicated. to the user by this software application, or - generated by the PFass association platform or the PFop operator platform and then encoded directly into the software code of the authentication software application to be downloaded and communicated to the user by this software application, or - entry on a user interface of the communicating mobile object T1 of the user after installation of the authentication software application and execution of an activation function of an input user interface of this own data.

La donnée propre à cet utilisateur peut être un mot de passe, un code numérique ou alphanumérique, une empreinte digitale, des données biométriques etc. La donnée propre est choisie librement par l'utilisateur ou contrainte en nombre de caractères et/ou en forme (lettres, chiffres, caractères spéciaux, etc). Cette donnée propre est connue seulement de cet utilisateur. Dans une variante de réalisation, plusieurs données propres sont requises : par exemple une empreinte digitale et un mot de passe. A l'étape E170, la plateforme d'association PFass génère une identité dérivée identité dérivée ID1 de l'identité d'origine 101 et mémorise les deuxièmes données d'identification DID1 représentatives de cette identité dérivée ID1 en association avec l'identité d'origine I01.The data specific to this user can be a password, a numeric or alphanumeric code, a fingerprint, biometric data etc. The own data is freely chosen by the user or constrained in number of characters and / or in form (letters, figures, special characters, etc.). This own data is known only to this user. In an alternative embodiment, several own data are required: for example a fingerprint and a password. In step E170, the PFass association platform generates a derived identity identity ID1 of the original identity 101 and stores the second identification data DID1 representative of this ID1 derived identity in association with the identity of the identity ID1. origin I01.

Une deuxième association est mémorisée entre l'identité d'origine (premières données d'identification DIO1) et l'identité dérivée ID1 (deuxièmes données d'identification DID1) dans la plateforme d'association PFass. L'identité dérivée ID1 est obtenue par application d'une fonction de transformation à l'identité d'origine. En variante, cette identité dérivée ID1 est obtenue par application d'une fonction de transformation combinant l'identité d'origine et la donnée de contact DC1 de l'objet mobile communicant T1. Le fait de combiner ces deux informations renforce la sécurité de l'association définie entre l'objet mobile communicant T1 et l'identité dérivée ID1 en ce qu'en cas d'utilisation d'un autre objet mobile communicant T1, il pourra être détecté que cet autre objet mobile communicant T1 n'est pas celui utilisé lors de la phase de génération d'identité dérivée ID1. Il est possible de combiner l'identité d'origine avec une autre donnée pour la génération de l'identité dérivée : - un identifiant de l'objet mobile communicant T1 et/ou du module de sécurité de cet l'objet mobile communicant T1 et/ou - une donnée propre à l'objet mobile communicant T1 et/ou au module de sécurité de cet l'objet mobile communicant T1.A second association is stored between the original identity (first identification data DIO1) and the derived identity ID1 (second identification data DID1) in the association platform PFass. The derived identity ID1 is obtained by applying a transformation function to the original identity. As a variant, this derived identity ID1 is obtained by applying a transformation function combining the original identity and the contact data DC1 of the communicating mobile object T1. The fact of combining these two pieces of information strengthens the security of the association defined between the communicating mobile object T1 and the derived identity ID1 in that, if another communicating mobile object T1 is used, it can be detected. that this other communicating mobile object T1 is not the one used during the ID1 derived identity generation phase. It is possible to combine the original identity with another data for the generation of the derived identity: an identifier of the communicating mobile object T1 and / or the security module of this communicating mobile object T1 and / or a data specific to the communicating mobile object T1 and / or the security module of the communicating mobile object T1.

La fonction de transformation utilisée est par exemple fonction de hachage, de chiffrement, ou toute autre fonction mathématique adaptée. Cette fonction de transformation peut ou non être réversible, selon que l'on souhaite ou non pouvoir retrouver l'identité d'origine 101 à partir de l'identité dérivée ID1. L'identité dérivée ID1 peut se présenter sous la forme d'un code alphanumérique sans signification particulière afin de garantir un anonymat. La longueur de ce code alphanumérique doit être suffisamment élevée pour optimiser l'entropie de la solution de sécurité et garantir que l'identité dérivée ID1 qui en résulte soit unique, et donc propre à un utilisateur et un seul. Puis, lors d'une étape E180, la plateforme d'association PFass envoie l'identité dérivée à la plateforme opérateur PFop pour mémorisation en association avec la donnée de contact DC1 de l'objet mobile communicant T1. Une troisième association est aussi mémorisée entre l'objet mobile communicant T1 (donnée de contact DC1) et l'identité dérivée ID1 (deuxièmes données d'identification DID1) dans la plateforme opérateur PFop.The transformation function used is, for example, a hash function, an encryption function or any other suitable mathematical function. This transformation function may or may not be reversible, depending on whether or not it is desired to be able to find the original identity 101 from the derived identity ID1. The ID1 derived identity may be in the form of an alphanumeric code with no particular meaning to guarantee anonymity. The length of this alphanumeric code must be sufficiently high to optimize the entropy of the security solution and ensure that the derived ID1 identity that results is unique, and therefore unique to a user and only one. Then, during a step E180, the PFass association platform sends the derived identity to the operator platform PFop for storage in association with the contact data DC1 of the communicating mobile object T1. A third association is also stored between the communicating mobile object T1 (contact data DC1) and the derived identity ID1 (second identification data DID1) in the operator platform PFop.

Avec la première association mémorisée dans l'objet mobile communicant T1, la deuxième association mémorisée dans la plateforme d'association PFass, et la troisième association mémorisée dans la plateforme opérateur PFop, une triple association est donc constituée entre l'objet mobile communicant T1, la donnée propre à l'utilisateur, l'identité dérivée ID1 et le support matériel SM1 de données, porteur de l'identité d'origine I01. L'identité dérivée ID1 est ainsi fortement liée au support matériel SM1 de données et à son porteur, au moyen notamment de l'objet mobile communicant T1. La phase d'authentification qui va maintenant être décrite repose donc sur une réconciliation permettant, au travers des différentes associations mémorisées, de retrouver l'identité d'origine de l'utilisateur et d'effectuer une vérification de la validité de celle-ci. L'identité dérivée, peut, contrairement à l'identité d'origine, être strictement anonyme et ne pas divulguer l'identité réelle de l'utilisateur U1 concerné. Ainsi l'identité dérivée ID1 permet de limiter la circulation de l'identité d'origine et surtout sa mémorisation ailleurs que chez son gestionnaire.With the first association stored in the communicating mobile object T1, the second association stored in the association platform PFass, and the third association stored in the operator platform PFop, a triple association is therefore formed between the communicating mobile object T1, the data specific to the user, the derived identity ID1 and the hardware support SM1 of data, bearer of the original identity I01. The ID1 derived identity is thus strongly related to the hardware support SM1 data and its carrier, in particular by means of the communicating mobile object T1. The authentication phase that will now be described is therefore based on a reconciliation allowing, through the various associations memorized, to find the original identity of the user and to perform a verification of the validity thereof. The derived identity may, unlike the original identity, be strictly anonymous and not disclose the actual identity of the user U1 concerned. Thus ID1 derived identity can limit the flow of the original identity and especially its storage elsewhere than in his manager.

Phase d'authentification Cette deuxième phase comprend les étapes E200 à E280. Cette deuxième phase permet l'authentification forte d'un utilisateur préalablement à l'accès à un service : accès à des données personnelles, accès à un espace de stockage de données, accès à un service en ligne, accès à des contenus et/ou exécution une transaction, par exemple en rapport avec des données personnelles, des données personnelles, un service en ligne, des contenus. Lors de l'étape initiale E200, l'utilisateur se connecte à une plateforme de service PFse, hébergeant le service visé. Avant d'ouvrir l'accès à l'utilisateur, cette plate-forme de service PFse va envoyer une requête d'authentification à la plateforme frontale PFin, servant de plateforme frontale pour l'authentification/identification de l'utilisateur. Le rôle de cette plateforme frontale PFin est de faire le lien avec les autres plateformes ayant procédé dans la phase d'enrôlement à la mémorisation des différentes associations. Dans ce but, l'utilisateur utilise un terminal T2 adapté pour se connecter à la plateforme de service PFse et envoyer une demande d'accès à un service. Ce terminal T2 peut être identique ou différent de l'objet mobile communicant / du terminal T1 utilisé dans la phase d'enrôlement. Par exemple, la plateforme de service PFse comprend un serveur Web, mettant en oeuvre une interface de communication utilisant un protocole Web tel que le protocole HTTP (« hypertext transfer protocol »). Dans ce cas, la demande d'accès au service provient d'un terminal T2 de l'utilisateur, intégrant un navigateur web communiquant avec la plateforme de service PFse par requête HTTP pour l'envoi de la demande d'accès au service. La demande d'accès est accompagnée d'une donnée de contact DC1 de l'objet mobile communicant T1 utilisé dans la phase d'enrôlement.Authentication Phase This second phase includes steps E200 to E280. This second phase allows the strong authentication of a user prior to access to a service: access to personal data, access to a data storage space, access to an online service, access to content and / or execution of a transaction, for example in relation to personal data, personal data, an online service, contents. During the initial step E200, the user connects to a service platform PFse, hosting the service concerned. Before opening the access to the user, this service platform PFse will send an authentication request to the front-end platform PFin, serving as a front-end platform for authentication / identification of the user. The role of this PFin front-end platform is to make the link with the other platforms having proceeded in the phase of enrollment with the memorization of the various associations. For this purpose, the user uses a T2 terminal adapted to connect to the PFse service platform and send a request for access to a service. This terminal T2 may be identical to or different from the communicating mobile object / terminal T1 used in the enrollment phase. For example, the PFse service platform comprises a Web server, implementing a communication interface using a Web protocol such as the HTTP protocol ("hypertext transfer protocol"). In this case, the request for access to the service comes from a terminal T2 of the user, integrating a web browser communicating with the service platform PFse by HTTP request for sending the access request to the service. The access request is accompanied by a contact data DC1 of the communicating mobile object T1 used in the enrollment phase.

Lors de l'étape E210, suite à la réception de la demande d'accès au service, la plateforme de service PFse envoie un message à la plateforme frontale PFin pour lui demander de procéder à l'authentification de l'utilisateur et lui transmet dans ce but la donnée de contact DC1 de l'objet mobile communicant Ti.In the step E210, following receipt of the service access request, the service platform PFse sends a message to the front platform PFin asking it to proceed with the authentication of the user and transmits it to the user. this purpose the contact data DC1 of the communicating mobile object Ti.

Puis, la plateforme frontale PFin déclenche l'envoi d'un message vers l'objet mobile communicant T1 par l'intermédiaire de la plateforme opérateur PFop et du réseau de télécommunication Rop associé. Ce message déclenche l'exécution par l'objet mobile communicant T1 de l'application logicielle d'authentification installée lors de l'étape E165. Lors de l'étape E220, l'exécution de l'application logicielle d'authentification est démarrée par l'objet mobile communicant T1, notamment par le module de sécurité de l'objet mobile communicant Ti. Cette application logicielle d'authentification déclenche la présentation à l'utilisateur d'une interface utilisateur d'entrée de données d'au moins une donnée propre à l'utilisateur. Lors de l'étape E230, l'utilisateur saisit ou fournit au moyen de cette interface utilisateur d'entrée de données une ou des données propres à l'utilisateur, devant a priori être identiques ou correspondre à celles ayant été stockées lors de la phase d'enrôlement.Then, the front platform PFin triggers the sending of a message to the communicating mobile object T1 via the operator platform PFop and the associated telecommunications network Rop. This message triggers the execution by the communicating mobile object T1 of the authentication software application installed during step E165. During step E220, the execution of the authentication software application is started by the communicating mobile object T1, in particular by the security module of the communicating mobile object Ti. This authentication software application triggers the presentation to the user of a data entry user interface of at least one data specific to the user. During the step E230, the user enters or provides by means of this data entry user interface one or some data specific to the user, before a priori being identical or corresponding to those stored during the phase enrollment.

Lors de l'étape E240, l'application logicielle d'authentification vérifie si les données propres à l'utilisateur fournies lors de l'étape E230 sont identiques à celles stockées lors de l'étape E165 lors de la phase d'enrôlement. Dans l'affirmative, l'application logicielle d'authentification envoie vers la plateforme frontale PFin, par l'intermédiaire de la plateforme opérateur PFop et du réseau de télécommunication Rop associé, un message signalant le succès de l'opération d'authentification exécutée par l'application logicielle d'authentification. Ce message comprend un identifiant de l'opération d'authentification, une date et, optionnellement une signature numérique de l'application logicielle d'authentification. La technologie « Mobile Connect » spécifiée dans le cadre de l'association d'opérateurs GSMA est utilisable dans ce but.In step E240, the authentication software application checks whether the user-specific data provided in step E230 are identical to those stored in step E165 during the enrollment phase. If so, the authentication software application sends to the PFin front-end platform, via the operator platform PFop and the associated telecommunication network Rop, a message signaling the success of the authentication operation executed by the authentication software application. This message includes an identification of the authentication operation, a date and optionally a digital signature of the authentication software application. The "Mobile Connect" technology specified as part of the GSMA Operator Association can be used for this purpose.

Dans le cas contraire, l'application logicielle d'authentification envoie vers la plateforme frontale PFin, par l'intermédiaire de la plateforme opérateur PFop et du réseau de télécommunication Rop associé, un message signalant l'échec de l'opération d'authentification exécutée par l'application logicielle d'authentification. La phase d'authentification se termine alors et l'utilisateur en est informé via le terminal T2 utilisé pour se connecter à la plateforme de service PFse. Lors de l'étape E250, en cas de réception d'un message signalant le succès de l'opération d'authentification exécutée par l'application logicielle d'authentification, la plateforme opérateur PFop retransmet ce résultat à la plate-forme frontale PFin en y adjoignant l'identité dérivée ID1, c'est-à-dire les deuxièmes données d'identification DID1 stockées en association avec les données de contact de l'objet mobile communicant Ti. La plateforme frontale PFin interroge alors la plateforme d'association PFass pour obtention de l'identité d'origine, après vérification des deuxièmes données d'identification DID1.In the opposite case, the authentication software application sends to the front platform PFin, via the operator platform PFop and the associated telecommunications network Rop, a message signaling the failure of the authentication operation executed. by the authentication software application. The authentication phase then ends and the user is informed via the terminal T2 used to connect to the service platform PFse. In step E250, if a message is received indicating the success of the authentication operation performed by the authentication software application, the operator platform PFop retransmits this result to the front-end platform PFin. adding to it the derived identity ID1, that is to say the second identification data DID1 stored in association with the contact data of the communicating mobile object Ti. The front platform PFin then queries the PFass association platform to obtain the original identity, after checking the second identification data DID1.

Lors de l'étape E260, la plateforme d'association PFass effectue une vérification de la validité des deuxièmes données d'identification DID1 reçues auprès de la plateforme PFgi. Dans ce but, la plateforme de gestion d'association PFass recherche d'abord si les deuxièmes données d'identification DID1 sont stockées en association avec des premières données d'identification DI01. Dans l'affirmative, la plateforme de gestion d'identité PFgi est sollicitée par la plateforme d'association PFass pour vérifier si l'identité d'origine 101 représentée par ces premières données d'identification DIO1 n'a pas été répudiée et/ou est toujours valide. A l'issue de l'étape E250, la plateforme de gestion d'identité PFgi renvoie une réponse à la plateforme d'association PFass sur le résultat de la vérification de l'identité d'origine. Lors de l'étape E270, en cas de succès de l'authentification de l'utilisateur U1, la plateforme frontale PFin transmet à la plateforme de service PFse, en tant que résultat de la demande d'authentification reçue par la plateforme frontale PFin à l'étape E210, un message de réponse. Ce message de réponse comprend par exemple l'identité d'origine 101 de l'utilisateur. En fonction des droits attribués à l'utilisateur, la plateforme de service PFse autorise alors ou non l'accès au service demandé par cet utilisateur.In step E260, the PFass association platform performs a verification of the validity of the second identification data DID1 received from the platform PFgi. For this purpose, the PFass association management platform first searches whether the second identification data DID1 is stored in association with first identification data DI01. If so, the PFgi identity management platform is requested by the PFass association platform to check whether the original identity 101 represented by these first identification data DIO1 has not been repudiated and / or is still valid At the end of step E250, the PFgi identity management platform returns a response to the PFass association platform on the result of the verification of the original identity. In step E270, in the event of successful U1 user authentication, the PFin frontend transmits to the PFse service platform, as a result of the authentication request received by the PFin front-end platform. step E210, a response message. This response message includes for example the original identity 101 of the user. Depending on the rights granted to the user, the service platform PFse then authorizes or not access to the service requested by this user.

Par exemple, autorise l'accès à des données, à un espace de stockage sécurisé, à un module d'exécution d'une transaction, etc. Une clef cryptographique propre à l'utilisateur peut en outre être générée pour signer et/ou chiffrer des données / un message / un contenu que l'utilisateur souhaiterait transmettre dans le cadre de la mise en oeuvre du service. Lors de l'étape E280 une transaction électronique est par exemple exécutée : par exemple un accès à des données, une transmission de données, etc. Si dans le cadre de l'accès au service, l'utilisateur demande à exécuter une transaction, incluant une transmission de données vers un tiers destinataire, les données transmises peuvent être signées et/ou chiffres au moyen de la clef cryptographique reçue. Ceci permet une traçabilité et un audit des transactions effectuées par un utilisateur.For example, allows access to data, secure storage, a transaction execution module, and so on. A cryptographic key specific to the user can also be generated to sign and / or encrypt data / message / content that the user would like to transmit as part of the implementation of the service. During the step E280 an electronic transaction is for example executed: for example an access to data, a data transmission, etc. If in the context of accessing the service, the user requests to execute a transaction, including a data transmission to a third party recipient, the transmitted data can be signed and / or numbers using the cryptographic key received. This allows traceability and auditing of transactions performed by a user.

Phase de désinscription du système d'authentification La désinscription / désactivation peut avoir lieu à la demande de l'utilisateur. Dans ce cas, l'utilisateur peut demander la désinstallation de l'application logicielle d'authentification et/ou demander la suppression de l'association mémorisée entre l'identité dérivée et l'identité d'origine. L'utilisateur déclenche par exemple l'exécution de l'application logicielle d'authentification. Cette application demande à l'utilisateur de fournir au moins une donnée propre à l'utilisateur. Si la donnée propre fournie par l'utilisateur est correcte, l'application logicielle d'authentification notifie, par l'intermédiaire de la plateforme opérateur PFop et du réseau de télécommunication Rop associé, la plateforme d'association PFass de la demande de suppression de l'association mémorisée entre l'identité dérivée et l'identité d'origine. La plateforme opérateur PFop supprime l'association mémorisée à son niveau entre l'identité dérivée et la donnée de contact DC1 de l'objet mobile communicant T1. La plateforme d'association PFass supprime l'association mémorisée à son niveau entre l'identité dérivée et l'identité d'origine. L'application logicielle d'authentification peut ensuite être désinstallée de l'objet mobile communicant Tl. La désinscription / désactivation peut avoir lieu à la demande d'un gestionnaire du service de gestion d'association, en vue d'empêcher l'authentification d'un utilisateur, par exemple lorsque l'objet mobile communicant T1 est perdu ou a été volé.Unsubscription phase of the authentication system Unsubscription / deactivation can take place at the request of the user. In this case, the user can request the uninstallation of the authentication software application and / or request the deletion of the association stored between the derived identity and the original identity. The user triggers for example the execution of the authentication software application. This application asks the user to provide at least one data specific to the user. If the own data provided by the user is correct, the authentication software application notifies, via the operator platform PFop and the associated telecommunication network Rop, the PFass association platform of the request for deletion of the association stored between the derived identity and the original identity. The operator platform PFop deletes the association stored at its level between the derived identity and the contact data DC1 of the communicating mobile object T1. The PFass association platform removes the association stored at its level between the derived identity and the original identity. The authentication software application can then be uninstalled from the communicating mobile object Tl. The unsubscription / deactivation can take place at the request of an association management service manager, in order to prevent authentication of the authentication device. a user, for example when the communicating mobile object T1 is lost or has been stolen.

Cette désinscription / désactivation peut consister à - supprimer la deuxième association mémorisée entre l'objet mobile communicant T1 (donnée de contact DC1) et l'identité dérivée ID1 (deuxièmes données d'identification DID1) dans la plateforme opérateur PFop; et/ou - supprimer la troisième association mémorisée entre l'identité dérivée ID1 et l'identité d'origine 101 dans la plateforme d'association PFass. La suppression de l'une de ces deux association rend impossible l'authentification de l'utilisateur puisque - la suppression de la deuxième association rend impossible la restitution de l'identité dérivée ID1 associée à l'objet mobile communicant T1, et la recherche subséquente de l'identité d'origine 101; - la suppression de la troisième association rend impossible la restitution de l'identité d'origine 101 associée à l'identité dérivée ID1 et la vérification de l'identité d'origine I01. La désinscription / désactivation peut avoir lieu à la demande d'un gestionnaire du service de gestion d'identité, en vue d'invalider les droits de l'utilisateur ou lorsque la validité du support matériel SM1 de données est expirée. Cette désinscription / désactivation peut consister à supprimer la troisième association est mémorisée entre l'identité dérivée ID1 et l'identité d'origine 101 dans la plateforme de d'association PFass. Cette suppression rend en effet impossible l'authentification de l'utilisateur puisque qu'elle rend impossible la restitution de l'identité d'origine 101 associée à l'identité dérivée ID1 et la vérification de l'identité d'origine I01, et ce même si la deuxième association devait être conservée au niveau de la plateforme opérateur PFop entre l'identité dérivée et la donnée de contact DC1. En alternative, cette désinscription / désactivation peut consister à modifier dans la plateforme de gestion d'identité PFgi les droits de l'utilisateur et/ou à procéder à une inscription de l'identité d'origine 101 dans une liste d'identités invalides et/ou répudiées. Dans une alternative comme dans l'autre, l'authentification de l'utilisateur échouera et l'accès au service demandé sera refusé. Changement du support matériel d'identité et/ou d'objet mobile communicant L'utilisateur demande la désinscription du système d'authentification puis envoie une nouvelle demande d'inscription au système d'authentification : la phase d'enrôlement est alors exécutée à nouveau pour le nouveau support matériel d'identité et/ou le nouvel objet mobile communicant. Trois nouvelles associations sont alors créées pour le support matériel SM1 d'identité courant et l'objet mobile communicant courant.This unsubscription / deactivation can consist of: - deleting the second association memorized between the communicating mobile object T1 (contact data DC1) and the derived identity ID1 (second identification data DID1) in the operator platform PFop; and / or - delete the third association stored between the ID1 derived identity and the original identity 101 in the PFass association platform. The deletion of one of these two associations makes it impossible to authenticate the user since the deletion of the second association makes it impossible to restore the ID1 derived identity associated with the communicating mobile object T1, and the subsequent search the original identity 101; the deletion of the third association makes it impossible to restore the original identity 101 associated with the derived identity ID1 and the verification of the original identity I01. The unsubscription / deactivation can take place at the request of an identity management service manager, in order to invalidate the rights of the user or when the validity of the data medium SM1 data is expired. This unsubscription / deactivation may consist of deleting the third association is stored between the ID1 derived identity and the original identity 101 in the PFass association platform. This deletion makes it impossible to authenticate the user since it makes it impossible to restore the original identity 101 associated with the derived identity ID1 and the verification of the original identity I01, and this even if the second association had to be kept at the level of the operator platform PFop between the derived identity and the contact data DC1. Alternatively, this unsubscription / deactivation may consist in modifying in the PFgi identity management platform the rights of the user and / or in making a registration of the original identity 101 in a list of invalid identities and / or repudiated. In either alternative, user authentication will fail and access to the requested service will be denied. Change of the identity material medium and / or communicating mobile object The user requests the unsubscription of the authentication system then sends a new registration request to the authentication system: the enrollment phase is then executed again for the new identity material carrier and / or the new communicating mobile object. Three new associations are then created for the hardware current SM1 hardware support and the current communicating mobile object.

Le procédé d'authentification est applicable à de nombreux cas d'usage : - pour la mise en oeuvre d'échanges et de transactions dans le cadre de services électroniques, mis en oeuvre via Internet ou via un réseau de téléphonie, requérant une vérification de l'intégrité de l'identité d'un utilisateur, auquel est attribué un support matériel SM1 d'identité ; - pour la vérification d'identité impliquant la gestion de droits, notamment droits d'accès à un service, dans le but par exemple de lutter contre la fraude, et de protéger des usagers contre l'usurpation d'identité ; - dans le domaine de la santé et des services à distance, pour le contrôle des droits et des accès au dossier médical d'un patient, notamment dans tous les cas où la protection de l'anonymat du patient est souhaitée et où la connaissance de l'identité réelle du patient n'est pas impérative, voire sensible (cas d'une demande d'analyse effectuée par un laboratoire d'analyses par exemple).25The authentication method is applicable to many use cases: - for the implementation of exchanges and transactions in the context of electronic services, implemented via the Internet or via a telephone network, requiring a verification of the integrity of the identity of a user, to whom is assigned a hardware support SM1 of identity; - for identity verification involving the management of rights, including rights of access to a service, for the purpose for example to fight against fraud, and to protect users against identity theft; - in the field of health and remote services, for the control of rights and access to the medical file of a patient, especially in all cases where the protection of the anonymity of the patient is desired and where the knowledge of the real identity of the patient is not imperative, even sensitive (case of a request for analysis made by an analysis laboratory for example).

Claims

REVENDICATIONS1. A method of authenticating a user to whom is assigned a hardware data medium (SM1) carrying a first identification data (DI01) representative of an origin identity (I01) assigned to the user, the method being implemented by at least one platform (PFop, PFass, PFin, PFgi, PFse) of an authentication system and comprising: a phase of generation of a derived identity comprising: a generation step, starting from less first identification data, second identification data (DID1) representative of a derived identity (ID1) of the original identity, - a step of storage by a said platform (PFop) of the second data d identification in association with contact data of a communicating mobile object capable of performing a user authentication operation from at least one user-specific data stored in a memory of the object mobile communicating, - an identity verification phase comprising: - a step of sending to the communicating mobile object of a message triggering an execution by the mobile object communicating the authentication operation from to less own data provided by the user and said at least one data specific to the user stored in the memory of the communicating mobile object, - a step of receiving a message signaling a success of said authentication operation a triggering step, following the reception of said message, of an identity verification step from the second identification data stored by said platform (PFop) in association with the contact data of said communicating object.

2. The method according to claim 1, wherein the generation of the second identification data is further performed from said contact data and / or an identifier of a security module present in the communicating mobile object and / or data specific to the communicating mobile object.

3. Method according to claim 1 or 2, a step of sending to the communicating mobile object a message comprising installation data of an authentication software application to be executed by the communicating mobile object, said application. authentication software being adapted to perform said authentication operation.

4. Method according to one of the preceding claims, wherein the second identification data are stored by a said platform (PFass) in association with the first identification data.

The method of claim 4, wherein said identity verification step includes a non-repudiation verification of the original identity from the first stored identification data in association with the second identification data.

The method of claim 4 or 5, wherein said identity verification step comprises checking the second stored identification data in association with the contact data of said communicating mobile object.

7. Method according to one of the preceding claims, comprising during the execution of said authentication operation: - an interrogation of the user to ask the user to provide at least one data specific to the user, - a verification of said at least one own data provided by the user by comparison with said at least one data specific to the user stored in the memory of the communicating mobile object.

8. Method according to one of the preceding claims, wherein the first identification data are read by a reader of said hardware data medium and then transmitted to an identity management server for verification of said first identification data.

9. Method according to one of the preceding claims, wherein the second identification data are generated under the condition of verifying the integrity of said first identification data obtained.

10. Method according to one of the preceding claims, comprising, in case of success of the identity verification step, a step of generating a cryptographic key specific to the user to be used for signing and / or numerically encrypt data.

11. Platform for implementing a user authentication method that is assigned a hardware data carrier carrying first identification data representative of an original identity assigned to the user, the platform comprising: - means for generating, from at least the first identification data, second identification data representative of an identity derived from the original identity, - means for storing the second data of identification in association with contact data of a communicating mobile object capable of executing a user authentication operation from at least one data specific to the user stored in a memory of the communicating mobile object, means for sending to the communicating mobile object a message triggering an execution by the mobile object communicating the authentication operation from at least one no own data provided by the user and said at least one data specific to the user stored in the memory of the communicating mobile object, means for receiving a message signaling a success of said authentication operation, means for triggering an identity verification step from the second identification data stored by said platform in association with the contact data of said communicating object.

A recording medium on which is recorded a program comprising program code instructions for performing the steps of a method according to one of claims 1 to 10.

A communicating mobile object of a user to whom is assigned a hardware data carrier carrying first identification data representative of an original identity assigned to the user, said mobile object comprising means for executing an operation. for authenticating a user from at least one user-specific data stored in a memory of the communicating mobile object; receiving means coming from a platform of an authentication system , a message triggering an execution by the mobile object communicating the authentication operation from at least one own data provided by the user and said at least one data specific to the user stored in the memory of the communicating mobile object, means for sending to said platform a message signaling a success of said authentication operation, said message triggering a verification step of identity from second identification data, representative of an identity derived from the original identity, stored in association with contact data of said mobile object communicating by said platform.

Terminal (T1) comprising a communicating mobile object according to claim 13.