FR3038200A1 - Traitement de donnees radio-cellulaires mis en oeuvre par une carte sim, notamment a des fins de securite - Google Patents

Abstract

L'invention concerne un procédé de traitement de données radio-cellulaires, mis en œuvre par des moyens informatiques incluant une carte de type UICC, permettant la sécurisation de la configuration à distance d'un paramètre de la carte de type UICC, lequel paramètre est associé à une première liste de valeurs, caractérisé en ce que la carte de type UICC d'un terminal en situation de mobilité reçoit une requête de configuration, laquelle requête demandant le remplacement de la première liste par une deuxième liste de valeurs, retrouve dans une mémoire de la carte de type UICC une valeur courante du paramètre et caractérisé en ce que, si la deuxième liste n'inclut pas, respectivement inclut, la valeur courante du paramètre, la première liste comprenant des valeurs autorisées, respectivement interdites, pour le paramètre, alors la requête de configuration demandant le remplacement de la première liste par une deuxième liste de valeurs est ignorée.

Description

1 Traitement de données radio-cellulaires mis en oeuvre par une carte SIM, notamment à des fins de sécurité DOMAINE TECHNIQUE GENERAL La présente invention concerne un traitement de données radio-cellulaires, mis en oeuvre par des moyens informatiques d'une carte SIM, notamment pour améliorer la sécurité de procédures de configuration à distance de la carte SIM. ETAT DE L'ART Il convient avant tout de préciser que les termes « carte SIM » (SIM pour Subscriber Identity Module) sont employés communément pour désigner une carte « UICC » (pour « Universal Integrated Circuit Card » tel que défini par l'organisme ETSI) comportant au moins l'une des applications SIM, USIM, ISIM et HPSIM (définies par la norme 3GPP). On comprendra ainsi que les termes « carte SIM » désignent ici une telle carte UICC, et que plus généralement les termes « carte SIM » et « carte UICC » soient indifféremment utilisés. Le terminal peut être par exemple un équipement communiquant avec un serveur via un réseau radio-cellulaire, tel qu'un terminal embarqué dans un véhicule à des fins de géolocalisation. Il peut s'agir ainsi d'un terminal comprenant un module radio et un module de localisation de type GPS (Global Positioning System). Le terminal collecte de façon régulière la position du véhicule dans lequel il est embarqué et reporte régulièrement cette position à un serveur en se connectant via le réseau radio-cellulaire. Le terminal peut être configuré à distance par l'envoi de requête via le réseau radio-cellulaire. L'envoi des requêtes peut être effectué à partir d'un autre terminal ou d'un serveur de configuration, comme le téléchargement de données vers la carte SIM via un SMS, connu du document 3GPP TS 31.111 Universal Subscriber Identity Module (USIM) Application Toolkit (USAT). Ceci est particulièrement utile s'agissant de terminaux ne possédant pas forcément d'interface de configuration, ou une interface a minima L'usage d'un terminal embarqué fait aussi que les personnes compétentes pour sa configuration se trouve généralement à distance, le terminal étant au mieux utilisé ou proche d'un utilisateur final n'ayant pas les connaissances nécessaires pour la configuration du terminal. Plus globalement, le contexte de tels terminaux est celui du machine à machine (de l'anglais « machine to machine » ; M2M) La possibilité de configurer un terminal à distance, si elle offre des avantages, comportent toutefois des inconvénients. Ainsi, une erreur de configuration peut rendre le terminal incapable de communiquer via le réseau radio-cellulaire. Dans ce cas, seule une intervention physique sur le 3038200 2 terminal permettra de récupérer l'accès au terminal et de rétablir une configuration adaptée. Le terminal peut aussi être vulnérable à des actes de malveillances, visant à perturber son fonctionnement. Deux exemples sont décrits ci-après permettant d'illustrer la problématique.

5 Le premier exemple concerne la possibilité de configuration à distance des paramètres d'itinérance (« roaming » en anglais) d'un terminal, c'est-à-dire la possibilité pour un terminal de se connecter à des réseaux radio-cellulaires d'opérateurs de réseau radio-cellulaire différents, l'itinérance étant particulièrement pertinente lors d'un changement de pays. Ces paramètres d'itinérance peuvent être par exemple l'autorisation pour un terminal de procéder ou non à de l'itinérance, et, si oui, la liste des 10 pays pour lesquels elle est autorisée. Il est à noter que les communications en situation d'itinérance sont souvent associées à des couts de communications supérieures au cout de communication en situation de non itinérance. Ainsi, un gestionnaire d'une flotte de terminaux utilisée de façon statique dans un pays, sans vocation à être utilisés hors de ce pays, aura tout intérêt à bloquer la possibilité d'itinérance pour éviter toute possibilité d'utilisation frauduleuse - et dispendieuse - du terminal ou de 15 sa carte SIM à l'étranger. A l'inverse, le gestionnaire d'une flotte de terminaux embarquée par exemple dans des véhicules (camions, bateaux, ...), et parcourant une zone géographique donnée, aura tout intérêt à autoriser l'itinérance dans les seuls pays correspondants à cette zone géographique. Des problèmes peuvent survenir si le gestionnaire, par erreur, ou une personne mal intentionnée, 20 modifie à distance la configuration d'un terminal, interdisant par exemple l'itinérance alors que ce terminal est à l'étranger. De même, si la possibilité d'itinérance dans un pays donné est retirée au terminal alors qu'il se trouve dans ce même pays, son utilisateur ne pourra plus l'utiliser. Dans ces deux cas, le terminal se voit couper l'accès au réseau radio-cellulaire. De plus, sans possibilité de communication avec le terminal, on comprendra qu'il n'est alors plus possible de le configurer à 25 distance pour résoudre le problème. Une intervention physique sur le terminal pour le reconfigurer ou le déplacement du terminal dans un pays sans itinérance est nécessaire pour que le terminal puisse se reconnecter à un réseau radio-cellulaire. Le deuxième exemple concerne un mécanisme simple de protection de la configuration à distance d'un 30 terminal qui peut être utilisé pour se prémunir d'actes malveillants. Il est ainsi judicieux de n'autoriser les configurations à distance d'un terminal qu'à partir de certains équipements, typiquement des serveurs de configuration gérés par le gestionnaire de la flotte de terminaux. Le mécanisme mis en place est par exemple de n'accepter les requêtes de configuration que si elles proviennent d' adresse(s) correspondant(s) aux serveurs de configuration gérés par le gestionnaire de flotte. Comme il est aussi 35 possible de configurer à distance ces adresses, on comprend qu'une erreur de configuration a pour effet d'interdire toute demande subséquente de configuration depuis ses serveurs. Une intervention physique sur les terminaux est alors nécessaire pour reconfigurer les terminaux.

3038200 3 Ces deux exemples illustrent la nécessité de proposer un mécanisme de sécurisation de la configuration à distance de terminaux dotés de module radio comprenant une carte SIM.

5 PRESENTATION DE L'INVENTION La présente invention vient améliorer la situation. Elle propose à cet effet un procédé de traitement de données radio-cellulaires, mis en oeuvre par des moyens informatiques incluant une carte de type UICC, permettant la sécurisation de la configuration à distance d'un paramètre de la carte de type 10 UICC, lequel paramètre est associé à une première liste de valeurs, caractérisé en ce que la carte de type UICC d'un terminal en situation de mobilité reçoit une requête de configuration, laquelle requête demandant le remplacement de la première liste par une deuxième liste de valeurs, retrouve dans une mémoire de la carte de type UICC une valeur courante du paramètre et caractérisé en ce que, si la deuxième liste n'inclut pas, respectivement inclut, la valeur courante du paramètre, la première liste 15 comprenant des valeurs autorisées, respectivement interdites, pour le paramètre, alors la requête de configuration demandant le remplacement de la première liste par une deuxième liste de valeurs est ignorée. Ainsi, pour un paramètre associé à une liste de valeurs autorisées (fonctionnement en « liste 20 blanche »), il n'est pas possible de configurer ce paramètre de la carte de type UICC avec une nouvelle liste de valeurs ne comprenant pas la valeur actuelle ou courante du paramètre. Dans le cas de la configuration de l'itinérance, il n'est ainsi pas possible de modifier la liste des pays autorisés en itinérance si la nouvelle liste (i.e. la deuxième liste) ne contient pas le pays actuellement utilisé en itinérance.

25 Pour un paramètre associé à une liste de valeurs non autorisées (fonctionnement en « liste noire »), le procédé prévient toute possibilité d'ajout de la valeur actuelle ou courante à la liste des valeurs non autorisées pour le paramètre.

30 Dans le cas contraire, dans ces deux hypothèses et sans ce procédé, la carte perdrait sa possibilité de connexion au réseau. Dans une forme de réalisation particulière, le procédé est caractérisé en ce que, dans une étape ultérieure, la première liste est remplacée par une combinaison de la deuxième liste et de la valeur 35 courante du paramètre.

3038200 4 Avantageusement, plutôt que d'ignorer totalement la requête de configuration, la valeur courante du paramètre est prise en compte pour modifier la nouvelle liste. Dans le cas d'un fonctionnement par liste blanche, la valeur courante peut être ajoutée à la deuxième 5 liste afin de s' assurer que cette valeur courante reste bien autorisée après la prise en compte de la demande de configuration. Dans le cas d'un fonctionnement par liste noire, la valeur courante peut être au contraire enlevée de la deuxième liste afin de s' assurer que cette valeur courante ne devienne pas interdite après la prise en 10 compte de la configuration. Dans une forme de réalisation particulière, le procédé est caractérisé en ce que, si la deuxième liste inclut, respectivement n'inclut pas, la valeur courante du paramètre, alors la première liste est remplacée par la deuxième liste de valeurs.

15 Avantageusement, dans les cas où soit la valeur courante est comprise dans la nouvelle liste de valeurs autorisées, soit elle n'est pas comprise dans la deuxième liste de valeurs non autorisées (interdites), alors la requête de configuration peut être satisfaite sans précaution particulière.

20 L'invention trouve une application avantageuse dans le cas d'un terminal correspondant à un équipement tel qu'un terminal embarqué dans un véhicule, la carte SIM implémentant alors un procédé sécuritaire dans le cadre d'une application machine à machine (de l'anglais « machine to machine »). Ainsi, dans une forme de réalisation, le terminal est adapté pour recevoir des requêtes de configuration d'un serveur distant, en mode machine à machine, et mettre en oeuvre le procédé de 25 sécurisation précédemment décrit. La présente invention vise aussi une carte SIM comportant des moyens incluant une mémoire programmée pour exécuter les étapes du procédé ci-avant.

30 La présente invention vise aussi un programme informatique comportant des instructions pour la mise en oeuvre du procédé ci-avant lorsque ce programme est exécuté par un processeur. PRESENTATION DES FIGURES D'autres caractéristiques et avantages de l'invention apparaîtront à l'examen de la description détaillée 35 ci-après, et des dessins annexés sur lesquels : - la figure 1 illustre les éléments matériels intervenant dans la mise en oeuvre du procédé, selon un exemple de réalisation, 3038200 5 - la figure 2 illustre les étapes d'un procédé au sens de l'invention selon un exemple de réalisation. DESCRIPTION DETAILLEE En référence à la figure 1, la carte SIM comporte typiquement un microcontrôleur (incluant par 5 exemple un processeur PROC) et une unité mémoire MEM avec par exemple : - une mémoire vive, de travail, pour stocker par exemple des valeurs courantes de paramètres, - une mémoire non volatile pour stocker : * des instructions de programme informatique dont l'exécution permet de mettre en oeuvre le procédé ci-avant, et 10 * des listes de valeurs associées à des paramètres. La carte SIM comporte en outre une interface de connexion INT avec le terminal TER qui l'accueille. En service, la carte SIM peut communiquer via le réseau radio-cellulaire RES avec un serveur de configuration SER. Le serveur de configuration SER peut envoyer des requêtes de configuration à la carte SIM du terminal TER. On comprendra que le programme informatique peut avoir typiquement 15 un algorithme dont l'ordinogramme peut être représenté par la figure 2 commentée ci-après. En référence à la figure 2, le procédé permettant la sécurisation de la configuration à distance d'un paramètre de la carte de type UICC compris dans le terminal TER, lequel paramètre est associé à une première liste de valeurs, commence par une première étape SO d'initialisation. Cette phase 20 correspond à la mise sous tension du terminal TER comprenant une carte SIM (ou carte de type UICC), et au lancement du système d'exploitation comprenant soit directement intégré, soit sous forme d'un programme informatique installé par la suite, les instructions de programme informatique dont l'exécution permet de mettre en oeuvre le procédé décrit dans ce document. Cette étape d'initialisation comprend une étape de connexion du terminal TER, via la carte SIM et son interface de 25 connexion INT, au réseau radio-cellulaire RES. Cette connexion établie, le terminal TER est en mesure de communiquer avec en particulier le serveur SER, c'est-à-dire soit de recevoir des messages ou requêtes de la part du serveur SER, soit d'envoyer des messages ou requêtes vers le serveur SER. En particulier, si le terminal TER se trouve en situation d'itinérance, le terminal vérifiera les valeurs des paramètres associés à l'itinérance afin d'autoriser ou non l'itinérance. Un paramètre d'itinérance 30 peut correspondre par exemple à une première liste de valeurs correspondant à des pays autorisés pour l'itinérance. Si la valeur courante du paramètre correspondant au pays dans lequel se trouve le terminal TER est comprise dans la liste de valeurs autorisées, respectivement non autorisées, alors la connexion au réseau RES sera autorisée, respectivement interdite, par la carte SIM. On parle de fonctionnement par liste blanche (liste exhaustive de valeurs autorisées d'un paramètre) ou par liste 35 noire (liste exhaustive de valeurs interdites d'un paramètre). Dans une étape 51, le terminal TER reçoit une requête de configuration provenant du serveur SER. Cette requête correspond à une demande de remplacement de la première liste de valeurs associé à un 3038200 6 paramètre par une deuxième liste de valeurs. La requête peut comprendre une donnée correspondant à un numéro d'identification associé au serveur SER envoyant la requête. Par exemple, dans l'hypothèse où la requête prend la forme d'un SMS (Short Message Service), le numéro d'identification de la requête associé au serveur SER correspondrait au numéro appelant. Les données correspondant à la 5 requête sont typiquement enregistrées dans la mémoire de travail de la carte SIM. Ces données peuvent comprendre la deuxième liste de valeurs, ou bien les valeurs de la deuxième liste peuvent être fournies à la carte SIM via une autre requête. Une requête peut aussi comprendre une donnée permettant de retrouver une deuxième liste préalablement enregistrée dans la mémoire de la carte SIM ou du terminal TER.

10 Par liste de valeurs, on peut entendre une liste avec une ou plusieurs valeurs d'un paramètre. Dans une étape S2, le terminal TER retrouve dans une mémoire de la carte SIM une valeur courante du paramètre correspondant à la demande de configuration reçue lors de l'étape 51. On parle ici de la mémoire non volatile ou de la mémoire vive, suivant le mode de réalisation. Il s'agit plus 15 généralement de toute mémoire accessible par le terminal TER ou la carte SIM. La valeur courante peut par exemple correspondre au pays dans lequel est connecté le terminal TER s'agissant d'un paramètre d'itinérance. S'agissant d'un paramètre d'autorisation, la valeur courante peut correspondre au numéro d'identification de la requête reçue.

20 Dans une étape S3, le terminal TER vérifie si la deuxième liste inclut ou n'inclut pas la valeur courante du paramètre retrouvée lors de l'étape précédente. Le procédé fonctionne de façon symétrique suivant que le paramètre soit associé à une liste fonctionnant comme une liste blanche ou une liste noire.

25 Dans le cas d'un fonctionnement par liste blanche, la première liste comprenant des valeurs autorisées pour le paramètre, si la deuxième liste n'inclut pas la valeur courante du paramètre, alors la requête de configuration demandant le remplacement de la première liste par une deuxième liste de valeurs est ignorée lors d'une étape S4. Ceci permet d'éviter à la carte SIM de fonctionner avec une liste de valeurs pour un paramètre dont la valeur actuelle est exclue, ce qui pourrait causer des 30 dysfonctionnements. Dans l'exemple présent de l'itinérance, le terminal TER ne serait plus autorisé à fonctionner dans le pays où il se trouve. Dans le cas d'un fonctionnement par liste noire, la première liste comprenant des valeurs interdites pour le paramètre, si la deuxième liste inclut la valeur courante du paramètre, alors la requête de configuration demandant le remplacement de la première liste par une deuxième liste de valeurs est 35 ignorée lors d'une étape S4. De façon identique, nous avons : 3038200 7 Dans le cas d'un fonctionnement par liste blanche, si la deuxième liste inclut la valeur courante du paramètre, alors la première liste est remplacée par la deuxième liste de valeurs lors d'une étape S6. Dans le cas d'un fonctionnement par liste noire, si la deuxième liste n'inclut pas la valeur courante du paramètre, alors la première liste est remplacée par la deuxième liste de valeurs lors d'une étape S6.

5 Selon un mode de réalisation, dans une étape S5 ultérieure à S4, ou concomitante, la première liste est remplacée par une combinaison de la deuxième liste et de la valeur courante du paramètre. Cette étape S5 est optionnelle. Elle permet de prendre en compte la requête de configuration tout en sécurisant la configuration en l'adaptant au contexte, c'est-à-dire à la valeur courante d'un paramètre.

10 Dans le cas d'un fonctionnement par liste blanche, la valeur courante est ajoutée à la deuxième liste. Dans le cas d'un fonctionnement par liste noire, la valeur courante est au contraire enlevée de la deuxième liste. Dans ces deux cas, la combinaison de la valeur courante et de la deuxième liste permet de satisfaire à la requête de configuration tout en garantissant que la mise en oeuvre de la configuration n'a pas 15 d'effet négatif sur le fonctionnement du terminal TER. Ainsi, pour un fonctionnement par liste blanche des pays autorisés à l' itinérance, pour un terminal TER connecté en itinérance dans un pays A, il n'est plus possible grâce à la présente méthode de couper la communication vers le terminal TER en envoyant une requête de configuration, par exemple malveillante, comprenant une deuxième liste de pays ne comprenant pas le pays A.

20 Dans une étape S7, une fois la configuration réalisée, soit directement par le remplacement de la première par une deuxième liste (S6), soit par le remplacement de la première liste par une combinaison de la valeur courante du paramètre et de la deuxième liste (S5) (ou le simple rejet de la demande de configuration de l'étape S4), le terminal TER est alors prêt à recevoir tout autre requête de configuration , ou plus généralement à envoyer ou recevoir toute requête.

25 Bien entendu, la présente invention ne se limite pas aux formes de réalisation décrites ci-avant à titre d'exemple ; elle s'étend à d'autres variantes. Ainsi, les étapes S4 ou S5 peuvent comprendre des étapes d'arrêt du terminal TER, d'enregistrement des requêtes reçues lors de l'étape Sl, considérées alors comme malveillantes, ou d'envoi d'une 30 requête de notification au serveur SER ou à un autre serveur, laquelle requête indiquant la tentative de configuration considérée comme malveillante.

Claims (1)

1. REVENDICATIONS1. Procédé de traitement de données radio-cellulaires, mis en oeuvre par des moyens informatiques incluant une carte SIM de type UICC, permettant la sécurisation de la configuration à distance d'un paramètre de la carte de type UICC, lequel paramètre est associé à une première liste de valeurs, caractérisé en ce que la carte de type UICC d'un terminal en situation de mobilité : - reçoit une requête de configuration, laquelle requête demandant le remplacement de la première liste par une deuxième liste de valeurs, - retrouve dans une mémoire de la carte de type UICC une valeur courante du paramètre, caractérisé en ce que, si la deuxième liste n'inclut pas, respectivement inclut, la valeur courante du paramètre, la première liste comprenant des valeurs autorisées, respectivement interdites, pour le paramètre, alors la requête de configuration demandant le remplacement de la première liste par une deuxième liste de valeurs est ignorée. (2) Procédé selon la revendication précédente, caractérisé en ce que, dans une étape ultérieure, la première liste est remplacée par une combinaison de la deuxième liste et de la valeur courante du paramètre. (3) Procédé selon l'une des revendications précédentes, caractérisé en ce que, si la deuxième liste inclut, respectivement n'inclut pas, la valeur courante du paramètre, alors la première liste est remplacée par la deuxième liste de valeurs. (4) Procédé selon l'une des revendications précédentes, caractérisé en ce que le paramètre représente un paramètre associé au fonctionnement de l' itinérance de la carte de type UICC. (5) Procédé selon l'une des revendications 1 à 3, caractérisé en ce que le paramètre représente un paramètre d'autorisation d'une requête de configuration. (6) Un terminal mobile TER comprenant un module radio permettant une connexion à un réseau opérateur RES, le module radio comprenant une carte SIM de type UICC, le terminal étant adapté pour : - recevoir une requête de configuration, laquelle requête demandant le remplacement de la première liste par une deuxième liste de valeurs, - retrouver dans une mémoire de la carte de type UICC une valeur courante du paramètre, 3038200 9 - ignorer la requête de configuration dans le cas où la deuxième liste n'inclut pas, respectivement inclut, la valeur courante du paramètre, la première liste comprenant des valeurs autorisées, respectivement interdites, pour le paramètre. 5 (7) Programme d'ordinateur comportant des instructions de programme pour la mise en oeuvre des étapes du procédé selon une des revendications 1 à 5 lorsque ce programme est exécuté par un processeur d'un terminal mobile TER comprenant un module radio permettant une connexion à un réseau opérateur RES. 10