WO2007113409A1 - Procede et dispositif de gestion des instances d'une application informatique - Google Patents

Procede et dispositif de gestion des instances d'une application informatique Download PDF

Info

Publication number
WO2007113409A1
WO2007113409A1 PCT/FR2007/050905 FR2007050905W WO2007113409A1 WO 2007113409 A1 WO2007113409 A1 WO 2007113409A1 FR 2007050905 W FR2007050905 W FR 2007050905W WO 2007113409 A1 WO2007113409 A1 WO 2007113409A1
Authority
WO
WIPO (PCT)
Prior art keywords
application
access
provider
instance
service providers
Prior art date
Application number
PCT/FR2007/050905
Other languages
English (en)
Inventor
Nicolas Bailleul
Jean-Pierre Le Rouzic
Original Assignee
France Telecom
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by France Telecom filed Critical France Telecom
Publication of WO2007113409A1 publication Critical patent/WO2007113409A1/fr

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Definitions

  • the present invention relates to the general field of telecommunication networks, and more particularly to the access, via such networks, to remote service providers.
  • service provider any entity that can be accessed by a terminal via a telecommunications network, and may provide, at this end, any service.
  • Web servers thus constitute service providers within the meaning of the invention.
  • a user accesses, from a computer application, to several service providers, and this in a relatively short period of time. This is particularly the case when a user accesses with an Internet browser to a plurality of web servers.
  • web servers request the aforementioned browser to obtain authentication data from a user.
  • the present invention aims to overcome this drawback, and more generally to allow the control, by a user, of the particular execution of a particular operation likely to be repeated by a user. application in response to solicitations from different remote service providers. More specifically, the invention relates to a method for managing the instances of a computer application making it possible to access, via a telecommunication network, a plurality of service providers likely to belong to groups of predetermined service providers. groups being predefined to group the service providers requiring the execution of at least one operation of said application.
  • This method comprises: a step of receiving, from the application, a request to access one of the service providers, said "target supplier";
  • the invention therefore makes it possible to define groups of service providers, access to service providers of the same group being performed in the same instance of the application, and a common operation to the suppliers. from the same group being executed only once in a particular instance.
  • this operation may for example be a highly expensive calculation operation for the resources of the terminal implementing this management method, so that this operation is executed only once, and its result kept in to be provided, where appropriate, to other service providers requiring the same operation.
  • the management method according to the invention can preferably be used in a mode in which a group of service providers requiring at least one common sensitive data is defined.
  • the management method according to the invention comprises: a step of obtaining and storing the sensitive data in response to a request from a first service provider accessed by an instance of the application; and
  • This embodiment finds a particularly advantageous application when obtaining the sensitive data requires a step of soliciting the user.
  • the user will be systematically requested to obtain sensitive data as soon as he wishes to access a service provider belonging to a group for which there is no Active instance belonging to a provider of this group.
  • the invention can be implemented in a multi-window runtime environment.
  • the active instance will run in a single window.
  • This embodiment advantageously makes it possible to further clarify the perception, by the user, of the management of these sensitive data, since the solicitation to obtain such data is associated with the opening of a new window to execute the application.
  • a group within the meaning of the invention includes service providers having established a relationship of trust with the same identity provider.
  • the invention thus makes it possible to advantageously complete the single-sign-on protocol (SSO) features that enable a user to authenticate with a web identity provider access web service providers without having to re-identify or re-authenticate.
  • SSO single-sign-on protocol
  • SSO type systems thus make it possible to share an authentication session between several web service providers who have established a relationship of trust with an identity provider. We'll say that these service providers belong to the same "circle of trust”.
  • this authentication session is established between the user and the identity provider by means of a web browser.
  • a third party object for example a smart card
  • the identifier code is requested only once during the connection. And if we navigate from a first site to a second site that does not have a relationship of trust with the first, the user code will not be requested again. The user can then wonder why he is asked for certain times and not others. In particular, it may be required to access non-confidential information while it is not to access confidential information.
  • the security perceived by the user in the use of an SSO type service is greatly improved, since the user enters his user code once and only once to unlock access to this data. 'authentication.
  • the browser instance cache and the SSO type system ensure secure browsing to access all sites in the same group or circle of trust.
  • the user wishes to navigate in another circle of trust, he is directed to a dedicated navigation instance that then solicits the input of his user code, thus materializing the security services from one circle of trust to another .
  • the various steps of the management method are determined by instructions of computer programs.
  • the invention also relates to a computer program on an information medium, this program being capable of being implemented in a computer, this program comprising instructions adapted to the implementation of the management method such as than mentioned above.
  • This program can use any programming language, and be in the form of source code, object code, or intermediate code between source code and object code, such as in a partially compiled form, or in any other form desirable shape.
  • the invention also relates to a computer-readable information medium, comprising instructions of a computer program as mentioned above.
  • the information carrier may be any entity or device capable of storing the program.
  • the medium may comprise storage means, such as a ROM, for example a CD ROM or a microelectronic circuit ROM, or a magnetic recording medium, for example a floppy disk or a disk. hard.
  • the information medium may be a transmissible medium such as an electrical or optical signal, which may be conveyed via an electrical or optical cable, by radio or by other means.
  • the program according to the invention can be downloaded in particular on an Internet type network.
  • the information carrier may be an integrated circuit in which the program is incorporated, the circuit being adapted to execute or to be used in the execution of the method in question.
  • the invention also relates to a device management device of a computer application for accessing, via a telecommunication network, to a plurality of service providers that may belong to groups of service providers, these groups being predefined to group the service providers requiring the execution of at least one operation of said application.
  • This device comprises:
  • target supplier means for receiving, from the application, a request for access to one of the service providers, referred to as the "target supplier";
  • the invention also relates to a computer comprising a management device as mentioned above, and means for storing a file comprising at least one address of a service provider selected by a user of this computer, this file comprising where applicable, at least one identifier of the service provider's group.
  • This file may for example be a web address book also known as the "Favorites File” in which a browser or other computer software stores the addresses of a user's favorite sites.
  • FIG. 1 shows schematically a computer according to the invention in a preferred embodiment
  • FIG. 2 represents, in flowchart form, the main steps of a management method according to the invention.
  • FIG. 1 shows a computer 1 according to the invention. This computer 1 is connected by means of communication
  • the computer 1 comprises a processor 10, a read-only memory 12, a random access memory 14 and a flash-type rewritable volatile memory 18.
  • the computer 1 comprises means 16 for reading a smart card, this smart card containing secret data used to authenticate a user of the computer.
  • the rewritable non-volatile memory 18 contains a FAV computer file in which the addresses of each of the service providers S1, S2, S3, S4 have been recorded. This FAV file also includes, where appropriate, an identifier of each group to which these service providers belong,
  • the group G1 groups the service providers S1 and S2 governed by the same identity provider II
  • the group G2 contains a single element, namely the service provider S3 governed by the identity provider 12 and the group G3 only one element, namely the S4 service provider that is not governed by any identity provider.
  • the read-only memory 12 comprises two computer programs, namely an AP computer program which, when it is executed by the processor 10, executes the instructions of a computer application adapted to access, via the network 2, to the different service providers Sl , S2, S3 and S4.
  • the computer 1 comprises a cache memory 19 used by the application AP for storing the authentication data of the user of the computer 1 obtained from the secret data. of the smart card and a code of this user.
  • the read-only memory 12 comprises a second computer program CI adapted, when it is implemented, to execute the main steps of the management method according to the invention, the flowchart of which will now be described with reference to FIG. 2. It will be assumed firstly that a user of this method launches the AP application to access the website Sl.
  • the launch of this execution generates the sending of a request received, by the management method according to the invention, during a step ElO.
  • This reception step ElO is followed by a step E20 during which the management method according to the invention determines the group (in this case G1) to which the service provider belongs.
  • this obtaining is done by reading the FAV file in the non-volatile memory 18.
  • This step E20 for obtaining the group is followed by an E30 test during which the management method according to the invention determines whether an instance of the application AP is active to access a service provider of the group G1. Since this is not the case, the result of the E30 test is negative.
  • step E40 the management method according to the invention creates an APl instance of the AP application.
  • the user can thus access the site Sl during a step E42. It will be assumed that the service provider Sl requests the identity provider II to authenticate the user. Thus the management program according to the invention receives, from the identity provider II, an authentication request during a step E44.
  • the authentication requires a step of calculating authentication data from secret data stored in the smart card and a user code to be explicitly provided by the user.
  • the management method according to the invention solicits the user for the provision of this code.
  • the management method according to the invention calculates, with the secret data read in the smart card, authentication data and stores them in the cache memory 19.
  • step E48 the management method according to the invention transmits these authentication data to the identity provider II.
  • the identity provider II transmits to the service provider Sl information that the user has been duly authenticated, and the user can access, during a step E50, to a service customized provider Sl. It will now be assumed that the user requests the AP application again to access the service provider S2,
  • the management method receives a corresponding request during a step ElO, and obtains, in the step E20, the group G1 to which the service provider S2 belongs,
  • the management method according to the invention determines that an APl instance is active to access the service provider Sl of the same group G1.
  • the user can thus access the service provider S2 during a step E62 and receives, in the same manner as previously described, an authentication request from the identity provider 11 during a step E64.
  • the management method according to the invention does not solicit the user to provide his user code, but directly obtains the authentication data, during a step E66, from the memory cache 19.
  • This authentication data is sent to the identity provider II during a step E68 which transmits, as previously described, information to the service provider S2, representative of the fact that the user has been duly authenticated. The user can thus access, in person, the service provider S2 during a step E70.
  • the user accesses the service providers S1 and S2, from the same window of the computer 1.
  • the instance AP1 is destroyed, so that if he wishes to access a new service provider of the provider managed by the identity provider II, the management method according to the invention will ask him to provide his user code.
  • a new instance AP2 will be created in the step E40 previously described, because no browser instance has been launched for a provider Group G2 and G3 respectively.
  • the user will be requested during step E46 to provide his user code so as to unblock his authenticity data.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

Ce dispositif gère les instances d'une application informatique (AP) accédant à des fournisseurs de services (S1, S2, S3) regroupés dans des groupes (G1, G2), ces groupes étant prédéfinis pour regrouper les fournisseurs de services qui requièrent l'exécution d'au moins une opération de l'application. Il utilise une même instance de l'application pour accéder aux fournisseurs (S1, S2) d'un même groupe (G1) de sorte que l'opération précitée n'est exécutée qu'une seule fois pour tous ces fournisseurs (S1, S2). Utilisation pour l'authentification d'un utilisateur auprès de fournisseurs (S1, S2) de services ayant établi une relation de confiance avec un même fournisseur d'identité (I1).

Description

PROCEDE ET DISPOSITIF DE GESTION DES INSTANCES D'UNE APPLICATION INFORMATIQUE.
Arrière-plan de l'invention
La présente invention se rapporte au domaine général des réseaux de télécommunication, et plus particulièrement à l'accès, via de tels réseaux, à des fournisseurs de service distants.
Dans ce document, on entend par "fournisseur de service", toute entité pouvant être accédée par un terminal via un réseau de télécommunication, et susceptible de fournir, à ce terminai, un service quelconque. Les serveurs web constituent ainsi des fournisseurs de service au sens de l'invention.
D'une façon générale, il est connu qu'un utilisateur accède, à partir d'une application informatique, à plusieurs fournisseurs de service, et ce dans une période de temps relativement courte. C'est notamment le cas lorsqu'un utilisateur accède avec un navigateur Internet à une pluralité de serveurs web. Dans ce contexte particulier, il est connu que les serveurs web sollicitent le navigateur précité pour obtenir des données d'authentïfïcation d'un utilisateur.
Or, les navigateurs Internet ne répercutent pas systématiquement cette demande à l'utilisateur, ses données d'authentification étant susceptibles d'être mémorisées dans une mémoire cache du navigateur de façon non contrôlée par l'utilisateur. II en résulte que la perception, par l'utilisateur, de la façon dont sont gérées ces données d'authentification ne correspond pas à l'usage qui en est réellement fait : l'utilisateur peut par exemple être sollicité pour saisir un mot de passe alors que le niveau de sécurité perçu pour accéder à ces fournisseurs de services est faible, et inversement ne pas être soilicîté pour la saisie de ce mot de passe alors qu'il accède à un fournisseur de service beaucoup plus sensible.
Objet et résumé de rinyention
La présente invention vise à pallier cet inconvénient, et plus généralement à permettre le contrôle, par un utilisateur, de l'exécution particulière d'une opération particulière susceptible d'être répétée par une application en réponse à des sollicitations de différents fournisseurs de services distants. Plus précisément, l'invention concerne un procédé de gestion des instances d'une application informatique permettant d'accéder, via un réseau de télécommunication, à une pluralité de fournisseurs de services susceptibles d'appartenir à des groupes de fournisseurs de services prédéterminés, les groupes étant prédéfinis pour regrouper les fournisseurs de services requérant l'exécution d'au moins une opération de ladite application.
Ce procédé comporte : - une étape de réception, en provenance de l'application, d'une requête pour accéder à l'un des fournisseurs de services, dît « fournisseur cible » ;
- une étape pour déterminer si une première instance active de l'application est utilisée pour accéder à un premier des fournisseurs appartenant au même groupe que le fournisseur cible ; - une étape pour, le cas échéant, utiliser la première instance active pour accéder au fournisseur cible, sans ré-exécuter l'opération; et
- une étape pour, dans le cas contraire, créer une deuxième instance de l'application pour accéder au fournisseur cible, et exécuter î'opération dans la deuxième instance. D'une façon générale, l'invention permet donc de définir des groupes de fournisseurs de services, î'accès aux fournisseurs de services d'un même groupe s'effectuant dans une même instance de l'application, et une opération commune aux fournisseurs du même groupe n'étant exécutée qu'une seule fois dans une instance particulière. Dans une première application, cette opération peut par exemple être une opération de calcul fortement coûteuse pour les ressources du terminal mettant en œuvre ce procédé de gestion, de sorte que cette opération n'est exécutée qu'une seule fois, et son résultat gardé en mémoire pour être fourni, le cas échéant, à d'autres fournisseurs de services requérant la même opération.
Le procédé de gestion selon l'invention peut préférentieilement être utilisé dans un mode dans lequel on définit un groupe de fournisseurs de services requérant au moins une donnée sensible commune. Dans ce mode, le procédé de gestion selon l'invention comporte : - une étape d'obtention et de mémorisation de la donnée sensible en réponse à une requête d'un premier fournisseur de service accédé par une instance de l'application ; et
- une étape d'envoi de la donnée sensible, en réponse à toute requête d'un fournisseur de service accédé par cette instance.
Ce mode de réalisation trouve une application particulièrement avantageuse lorsque l'obtention de la donnée sensible nécessite une étape de sollicitation de l'utilisateur.
En effet, dans ce mode de réalisation de l'invention, l'utilisateur sera systématiquement sollicité pour l'obtention des données sensibles dès qu'il souhaitera accéder à un fournisseur de service appartenant à un groupe pour lequel il n'existe pas d'instance active appartenant à un fournisseur de ce groupe.
En revanche, il ne sera jamais sollicité pour une nouvelle obtention de ces données sensibles au profit d'un autre fournisseur de service de ce groupe, tant que l'instance précitée restera active.
L'invention peut être mise en œuvre dans un environnement d'exécution muiti-fenêtres. Dans ce mode de réalisation, l'instance active s'exécutera dans une fenêtre unique. Cette réalisation permet avantageusement de clarifier encore la perception, par l'utilisateur, de la gestion de ces données sensibles, puisque la sollicitation pour obtenir de telles données est associée à l'ouverture d'une nouvelle fenêtre pour exécuter l'application.
Dans un mode préféré de réalisation, un groupe au sens de l'invention regroupe des fournisseurs de services ayant établi une relation de confiance avec un même fournisseur d'identité.
L'invention permet ainsi de compléter avantageusement les fonctionnalités de protocole à authentification unique de type SSO (pour "Single Sîgn On" en anglais), qui permettent à un utilisateur de s'authentifier auprès d'un fournisseur d'identité web et d'accéder à des fournisseurs de services web sans avoir ni à se ré-identifler, ni à se réauthentifier.
Les systèmes de type SSO permettent ainsi de partager une session d'authentification entre plusieurs fournisseurs de service web qui ont établi une relation de confiance avec un fournisseur d'identité. On dira que ces fournisseurs de services appartiennent au même "cercle de confiance".
Cependant, cette session d'authentification est établie entre l'utilisateur et le fournisseur d'identité par !e biais d'un navigateur web. Lorsque l'authentification de l'utilisateur est réalisée sur la base de données calculées par un objet tiers, par exemple une carte à puce, il ne peut pas y avoir de corrélation entre ies déblocages de ces données par le navigateur, par exemple consécutivement à Ia saisie d'un code personnel, et leur mise à disposition ultérieure à destination du fournisseur d'identité, puisque le cache du navigateur ne peut les mémoriser.
Ainsi, le code identificateur n'est demandé qu'une seule fois lors de la connexion. Et si l'on navigue d'un premier site à un deuxième site qui n'a pas de relation de confiance avec le premier, le code utilisateur ne sera pas redemandé. L'utilisateur peut alors se demander pourquoi il est sollicité certaines fois et pas d'autres. Il se peut en particulier qu'il soit sollicité pour avoir accès à des informations non confidentielles alors qu'il ne l'est pas pour accéder à des informations confidentielles.
Grâce à la présente invention, la sécurité perçue par l'utilisateur dans l'utilisation d'un service de type SSO est fortement améliorée, puisque l'utilisateur saisit une et une seule fois son code utilisateur pour débloquer l'accès à ces données d'authentification. Le cache de l'instance du navigateur et le système de type SSO garantissent une navigation sécurisée pour accéder à tous les sites d'un même groupe ou cercle de confiance. Bien entendu, si l'utilisateur souhaite naviguer dans un autre cercle de confiance, il est dirigé vers une instance de navigation dédiée qui sollicite alors la saisie de son code utilisateur, matérialisant ainsi la sécurisation des services d'un cercle de confiance à un autre.
Selon une impiémentation préférée, les différentes étapes du procédé de gestion sont déterminées par des instructions de programmes d'ordinateurs.
En conséquence, l'invention vise aussi un programme d'ordinateur sur un support d'informations, ce programme étant susceptible d'être mis en œuvre dans un ordinateur, ce programme comportant des instructions adaptées à la mise en œuvre du procédé de gestion tel que mentionné ci-dessus. Ce programme peut utiliser n'importe quel langage de programmation, et être sous la forme de code source, code objet, ou de code intermédiaire entre code source et code objet, tel que dans une forme partiellement compilée, ou dans n'importe quelle autre forme souhaitable.
L'invention vise aussi un support d'informations lisible par un ordinateur, et comportant des instructions d'un programme d'ordinateur tel que mentionné ci-dessus.
Le support d'informations peut être n'importe quelle entité ou dispositif capable de stocker le programme. Par exemple, le support peut comporter un moyen de stockage, tel qu'une ROM, par exemple un CD ROM ou une ROM de circuit microéiectronique, ou encore un moyen d'enregistrement magnétique, par exemple une disquette (floppy dise) ou un disque dur. D'autre part, le support d'informations peut être un support transmissible tel qu'un signal électrique ou optique, qui peut être acheminé via un câble électrique ou optique, par radio ou par d'autres moyens. Le programme selon l'invention peut être en particulier téléchargé sur un réseau de type Internet. Alternativement, le support d'informations peut être un circuit intégré dans lequel le programme est incorporé, le circuit étant adapté pour exécuter ou pour être utilisé dans l'exécution du procédé en question.
L'invention vise aussi un dispositif de gestion des instances d'une application informatique permettant d'accéder, via un réseau de télécommunication, à une pluralité de fournisseurs de services susceptibles d'appartenir à des groupes de fournisseurs de services, ces groupes étant prédéfinis pour regrouper les fournisseurs de services requérant l'exécution d'au moins une opération de ladite application. Ce dispositif comporte :
- des moyens de réception, en provenance de l'application, d'une requête pour accéder à l'un des fournisseurs de services, dit « fournisseur cible » ;
- des moyens pour déterminer si une première instance active de l'application est utilisée pour accéder à un premier des fournisseurs appartenant au même groupe que le fournisseur cible ; - des moyens pour, Ie cas échéant, utiliser la première instance active pour accéder au fournisseur cible avec l'application, sans ré exécuter l'opération ; et
- des moyens pour, dans le cas contraire, créer une deuxième instance de l'application pour accéder au fournisseur cible, et exécuter l'opération dans la deuxième instance.
L'invention vise également un ordinateur comportant un dispositif de gestion tel que mentionné ci-dessus, et des moyens de mémorisation d'un fichier comportant au moins une adresse d'un fournisseur de service sélectionné par un utilisateur de cet ordinateur, ce fichier comportant, le cas échéant, au moins un identifiant du groupe du fournisseur de service.
Ce fichier peut par exemple être un carnet d'adresses Web également connu sous le nom de "Fichier de Favoris" dans lequel un navigateur ou tout autre logiciel informatique enregistre les adresses des sites préférés d'un utilisateur.
Brève description des dessins
D'autres caractéristiques et avantages de la présente invention ressortiront de la description faite ci-dessous, en référence aux dessins annexés qui en illustrent un exemple de réalisation dépourvu de tout caractère limitatif. Sur les figures :
- la figure 1 représente, de façon schématique, un ordinateur conforme à l'invention dans un mode préféré de réalisation ; et - la figure 2 représente, sous forme d'organigramme, les principales étapes d'un procédé de gestion conforme à l'invention.
Description détaillée d'un mode de réalisation
La figure 1 représente un ordinateur 1 conforme à l'invention. Cet ordinateur 1 est relié, par des moyens de communication
20, à un réseau 2 de type Internet auquel sont connectés quatre fournisseurs de services Sl, S2, S3, S4 et deux fournisseurs d'identité II et 12.
Nous supposerons dans cet exemple que les fournisseurs de service Sl et S2 sont régis par le fournisseur d'identité II (ils appartiennent au même cercle de confiance), que le fournisseur de service 53 est régi par le fournisseur d'identité 12 et que le fournisseur de service
54 n'est régi par aucun fournisseur d'identité.
L'ordinateur 1 selon l'invention comporte un processeur 10, une mémoire morte 12, une mémoire vive 14 et une mémoire volatile réinscriptible de type flash 18.
Dans le mode préféré de réalisation décrit ici, l'ordinateur 1 selon l'invention comporte des moyens 16 de lecture d'une carte à puce, cette carte à puce contenant des données secrètes utilisées pour authentifier un utilisateur de l'ordinateur 1. Dans le mode préféré de réalisation décrit ici, la mémoire non volatile réinscriptible 18 contient un fichier informatique FAV dans lequel les adresses de chacun des fournisseurs de services Sl, S2, S3, S4 ont été enregistrées. Ce fichier FAV comporte également, le cas échéant, un identifiant de chaque groupe auquel appartiennent ces fournisseurs de services,
De façon avantageuse, on a défini trois groupes Gl, G2, G3 qui reflètent les cercles de confiance précités.
Plus précisément, le groupe Gl regroupe les fournisseurs de services Sl et S2 régis par le même fournisseur d'identité II, le groupe G2 contient un seul élément, à savoir le fournisseur de service S3 régi par le fournisseur d'identité 12 et le groupe G3 un seul élément, à savoir le fournisseur de service S4 qui n'est régi par aucun fournisseur d'identité.
La mémoire morte 12 comporte deux programmes informatiques, à savoir un programme informatique AP qui, lorsqu'il est exécuté par le processeur 10, exécute les instructions d'une application informatique adaptée à accéder, via le réseau 2, aux différents fournisseurs de service Sl, S2, S3 et S4.
Dans le mode de réalisation préféré décrit ici, l'ordinateur 1 selon l'invention comporte une mémoire cache 19 utilisée par l'application AP pour mémoriser les données d'authentification de l'utilisateur de l'ordinateur 1 obtenues à partir des données secrètes de la carte à puce et d'un code de cet utilisateur.
La mémoire morte 12 comporte un deuxième programme informatique CI adapté, lorsqu'il est mis en œuvre, à exécuter les principales étapes du procédé de gestion selon l'invention, dont l'organigramme va maintenant être décrit en référence à la figure 2. On supposera tout d'abord qu'un utilisateur de ce procédé lance l'application AP pour accéder au site web Sl.
Le lancement de cette exécution génère l'envoi d'une requête reçue, par le procédé de gestion selon l'invention, au cours d'une étape ElO.
Cette étape de réception ElO est suivie par une étape E20 au cours de laquelle le procédé de gestion selon l'invention détermine le groupe (en l'occurrence Gl) auquel appartient ie fournisseur de service
Sl. Dans l'exemple décrit ici, cette obtention se fait par lecture du fichier FAV dans la mémoire non volatile 18.
Cette étape E20 d'obtention du groupe est suivie par un test E30 au cours duquel le procédé de gestion selon l'invention détermine si une instance de l'application AP est active pour accéder à un fournisseur de service du groupe Gl. Comme ce n'est pas le cas, le résultat du test E30 est négatif.
Ce test est alors suivi par une étape E40 au cours de laquelle le procédé de gestion selon l'invention crée une instance APl de l'application AP.
L'utilisateur peut ainsi accéder au site Sl au cours d'une étape E42. On supposera que le fournisseur de service Sl sollicite le fournisseur d'identité II pour authentifier l'utilisateur. Ainsi le programme de gestion selon l'invention reçoit, en provenance du fournisseur d'identité II, une requête d'authentification au cours d'une étape E44.
Dans le mode de réalisation décrit ici, l'authentification requiert une étape de calcul de données d'authentification à partir de données secrètes mémorisées dans la carte à puce et d'un code utilisateur devant être explicitement fourni par l'utilisateur.
Aussi, au cours d'une étape E46, le procédé de gestion selon l'invention sollicite l'utilisateur pour la fourniture de ce code. Au cours de cette même étape, Ie procédé de gestion selon l'invention calcule, avec les données secrètes lues dans la carte à puce, des données d'authentification et les mémorise dans ia mémoire cache 19.
Cette mémorisation est suivie par une étape E48 au cours de laquelle le procédé de gestion seion l'invention transmet ces données d'authentîfication au fournisseur d'identité II. De façon transparente pour l'utilisateur, le fournisseur d'identité II transmet au fournisseur de service Sl une information selon laquelle i'utilisateur a été dûment authentifié, et l'utilisateur peut accéder, au cours d'une étape E50, à un service personnalisé du fournisseur Sl. On va maintenant supposer que l'utilisateur sollicite une nouvelle fois l'application AP pour accéder au fournisseur de service S2,
Comme décrit précédemment, le procédé de gestion selon l'invention reçoit une requête correspondante au cours d'une étape ElO, et obtient, au cours de l'étape E20, le groupe Gl auquel appartient le fournisseur de service S2,
Au cours du test E30 précédemment décrit, le procédé de gestion selon l'invention détermine cette fois qu'une instance APl est active pour accéder au fournisseur de service Sl du même groupe Gl.
Le résultat de ce test est donc positif. En conséquence, le procédé de gestion selon l'invention réutilise, au cours d'une étape E60, l'instance APl pour accéder au fournisseur de service S2.
L'utilisateur peut ainsi accéder au fournisseur de service S2 au cours d'une étape E62 et reçoit, de la même façon que précédemment décrit, une requête d'authentification en provenance du fournisseur d'identité ïl au cours d'une étape E64.
Mais, dans ce cas, le procédé de gestion selon l'invention ne re- soliicite pas l'utilisateur pour fournir son code utilisateur, mais obtient directement les données d'authentification, au cours d'une étape E66, à partir de la mémoire cache 19.
Ces données d'authentification sont envoyées au fournisseur d'identité II au cours d'une étape E68 qui transmet, comme précédemment décrit, une information au fournisseur de service S2, représentative du fait que l'utilisateur a été dûment authentifié. L'utilisateur peut ainsi accéder, de façon personnaiîsée, au fournisseur de service S2 au cours d'une étape E70.
Dans ie mode préféré de réalisation décrit ici, i'utilisateur accède aux fournisseurs de service Sl et S2, à partir de la même fenêtre de l'ordinateur 1. Lorsqu'il ferme explicitement cette fenêtre, l'instance APl est détruite, de sorte que s'il souhaite accéder une nouvelle fois à un fournisseur de service du fournisseur géré par le fournisseur d'identité II, le procédé de gestion selon l'invention lui redemandera de fournir son code utilisateur.
Si l'utilisateur sollicite l'application AP pour accéder au fournisseur de service S3, S4 respectivement, une nouvelle instance AP2 sera créée à l'étape E40 précédemment décrite, du fait qu'aucune instance de navigateur n'a été lancée pour un fournisseur de service du groupe G2, respectivement G3. Dans ce cas, et comme précédemment décrit, l'utilisateur sera sollicité au cours de l'étape E46 pour fournir son code utilisateur de façon à débloquer ses données d'authentîfication.

Claims

REVENDICATIONS
1. Procédé de gestion des instances d'une application informatique (AP) permettant d'accéder, via un réseau de télécommunication (2), à une pluralité de fournisseurs de services (Sl, S2, S3, S4) susceptibles d'appartenir à des groupes (Gl, G2) de fournisseurs de services, lesdits groupes étant prédéfinis pour regrouper lesdits fournisseurs de services requérant l'exécution d'au moins une opération de ladite application (AP), ledit procédé comportant : - une étape (ElO) de réception, en provenance de ladite application (AP), d'une requête pour accéder à l'un (S2) desdits fournisseurs de services (Slx S2, S3, S4), dit « fournisseur cible » ;
- une étape (E30) pour déterminer si une première instance active de ladite application (AP) est utilisée pour accéder à un premier (Sl) desdits fournisseurs (Sl, S2, S3) appartenant au même groupe (Gl) que ledit fournisseur cible (S2) ;
- une étape (E60) pour, Ie cas échéant, utiliser ladite première instance active pour accéder audit fournisseur cible (S2), sans ré-exécuter ladite opération; et - une étape (E40) pour, dans le cas contraire, créer une deuxième instance de ladite application (AP) pour accéder audit fournisseur cible (S2), et exécuter ladite opération dans ladite deuxième instance.
2. Procédé de gestion selon la revendication 1, dans lequel on définit un groupe (Gl) de fournisseurs de services (Sl, S2) requérant au moins une donnée sensible commune, caractérisé en ce qu'il comporte :
- une étape (E46) d'obtention et de mémorisation de ladite donnée sensible en réponse à une requête d'un premier fournisseur de service (Sl) accédé par une dite instance de l'application ; et - une étape (E48, E68) d'envoi de ladite donnée sensible, en réponse à toute requête d'un fournisseur de service accédé par ladite instance.
3. Procédé de gestion selon la revendication 2, caractérisé en ce qu'il comporte une étape (E46) de sollicitation d'un utilisateur pour obtenir ladite donnée sensible.
4. Procédé selon la revendication 2 ou 3, caractérisé en ce que ladite donnée sensible est une donnée d'authentïftcation et en ce que ledit groupe (Gl) regroupe des fournisseurs de services (Sl, S2) ayant établi une relation de confiance avec un même fournisseur d'identité (II).
5. Procédé de gestion selon l'une queiconque des revendications 2 à 4, ce procédé étant mis en œuvre dans un environnement d'exécution multi fenêtres caractérisé en ce qu'une instance active s'exécute dans une fenêtre unique.
6. Dispositif de gestion des instances d'une application informatique (AP) permettant d'accéder, via un réseau de télécommunication (2), à une pluralité de fournisseurs de services (Sl, S2, S3, S4) susceptibles d'appartenir à des groupes (Gl, G2) de fournisseurs de services, lesdits groupes étant prédéfinis pour regrouper lesdits fournisseurs de services requérant l'exécution d'au moins une opération de ladite application (AP), ledit dispositif comportant :
- des moyens de réception, en provenance de ladite application (AP), d'une requête pour accéder à l'un (S2) desdïts fournisseurs de services (Si, S2, S3, S4), dit « fournisseur cible » ;
- des moyens pour déterminer si une première instance active de ladite application est utilisée pour accéder à un premier (Sl) desdits fournisseurs (Sl, S2, S3, S4) appartenant au même groupe (Gl) que ledit fournisseur cible (S2) ; - des moyens pour, le cas échéant, utiliser ladite première instance active pour accéder audit fournisseur cible (S2), sans ré-exécuter ladite opération; et
- des moyens pour, dans le cas contraire, créer une deuxième instance de ladite application (AP) pour accéder audit fournisseur cible (S2), et exécuter iadite opération dans ladite deuxième instance.
7. Ordinateur (1) comportant un dispositif de gestion selon la revendication 6, et des moyens (18) de mémorisation d'un fichier (FAV) comportant au moins une adresse d'un fournisseur de service (Sl, S2, S3, S4) sélectionné par un utilisateur dudit ordinateur (1), caractérisé en ce que ledit fichier (FAV) comporte, ie cas échéant, au moins un identifiant du groupe (Gl7 G2) dudit fournisseur de service (Sl),
8. Programme d'ordinateur (CI) comportant des instructions pour l'exécution des étapes du procédé de gestion selon l'une quelconque des revendications 1 à 5 lorsque ledit programme est exécuté par un ordinateur (1).
9, Support d'enregistrement (12) lisible par un ordinateur (1) sur lequel est enregistré un programme d'ordinateur (CI) comprenant des instructions pour l'exécution des étapes du procédé de gestion selon l'une quelconque des revendications 1 à 5.
PCT/FR2007/050905 2006-03-17 2007-03-09 Procede et dispositif de gestion des instances d'une application informatique WO2007113409A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR0650925 2006-03-17
FR0650925A FR2898748A1 (fr) 2006-03-17 2006-03-17 Procede et dispositif de gestion des instances d'une application informatique

Publications (1)

Publication Number Publication Date
WO2007113409A1 true WO2007113409A1 (fr) 2007-10-11

Family

ID=37667175

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/FR2007/050905 WO2007113409A1 (fr) 2006-03-17 2007-03-09 Procede et dispositif de gestion des instances d'une application informatique

Country Status (2)

Country Link
FR (1) FR2898748A1 (fr)
WO (1) WO2007113409A1 (fr)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8832271B2 (en) 2010-12-03 2014-09-09 International Business Machines Corporation Identity provider instance discovery
US9596122B2 (en) 2010-12-03 2017-03-14 International Business Machines Corporation Identity provider discovery service using a publish-subscribe model

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001011450A1 (fr) * 1999-08-05 2001-02-15 Sun Microsystems, Inc. Structure d'entree en communication unique avec application de niveau de fiabilite a des demandes d'authentification
US20030163733A1 (en) * 2002-02-28 2003-08-28 Ericsson Telefon Ab L M System, method and apparatus for federated single sign-on services
US20040002878A1 (en) * 2002-06-28 2004-01-01 International Business Machines Corporation Method and system for user-determined authentication in a federated environment

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001011450A1 (fr) * 1999-08-05 2001-02-15 Sun Microsystems, Inc. Structure d'entree en communication unique avec application de niveau de fiabilite a des demandes d'authentification
US20030163733A1 (en) * 2002-02-28 2003-08-28 Ericsson Telefon Ab L M System, method and apparatus for federated single sign-on services
US20040002878A1 (en) * 2002-06-28 2004-01-01 International Business Machines Corporation Method and system for user-determined authentication in a federated environment

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
MENEZES, VANSTONE, OORSCHOT: "Handbook of Applied Cryptography", 1997, CRC PRESS LLC, USA, XP002417702 *
VOGEL ET AL: "Federation solutions for inter- and intradomain security in next-generation mobile service platforms", 2 January 2006, AEU INTERNATIONAL JOURNAL OF ELECTRONICS AND COMMUNICATIONS, ELSEVIER, JENA, DE, PAGE(S) 13-19, ISSN: 1434-8411, XP005203890 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8832271B2 (en) 2010-12-03 2014-09-09 International Business Machines Corporation Identity provider instance discovery
US8838792B2 (en) 2010-12-03 2014-09-16 International Business Machines Corporation Identity provider instance discovery
US9596122B2 (en) 2010-12-03 2017-03-14 International Business Machines Corporation Identity provider discovery service using a publish-subscribe model
US9596123B2 (en) 2010-12-03 2017-03-14 International Business Machines Corporation Identity provider discovery service using a publish-subscribe model

Also Published As

Publication number Publication date
FR2898748A1 (fr) 2007-09-21

Similar Documents

Publication Publication Date Title
EP1909462B1 (fr) Procédé de mise à disposition cloisonnée d'un service électronique
EP3257224B1 (fr) Technique de connexion à un service
EP1762037A2 (fr) Procede et systeme de certification de l'identite d'un utilisateur
EP3568965A1 (fr) Procédé d'authentification en deux étapes, dispositif et programme d'ordinateur correspondant
WO2005006646A9 (fr) Méthode de sécurisation d'un certificat électronique
EP1905217B1 (fr) Procede de configuration d'un terminal a travers un reseau d'acces
WO2007113409A1 (fr) Procede et dispositif de gestion des instances d'une application informatique
FR3103990A1 (fr) Procédés et applications de contrôle d’accès distribué à un réseau de télécommunications
FR2860111A1 (fr) Systeme d'acces a un reseau adapte pour la mise en oeuvre d'un procede a signature simplifiee, et serveur pour sa realisation
EP1413158B1 (fr) Procede d'acces a un service specifique propose par un operateur virtuel et carte a puce d'un dispositif correspondant
WO2016156714A1 (fr) Système et procédé d'exécution d'une application dans un terminal muni d'une carte a puce
WO2021079041A1 (fr) Technique de communication entre une application mettant en oeuvre un service et un serveur
FR3051944A1 (fr) Procede pour renseigner des informations personnelles d'un utilisateur demandees par un service en ligne donne
FR3114714A1 (fr) Procédé d’accès à un ensemble de données d’un utilisateur.
WO2022096824A1 (fr) Procede de delegation d'acces a une chaine de blocs
EP3912065A1 (fr) Autorisation du chargement d'une application dans un élément de sécurité
EP3979109A1 (fr) Procédé et système d'authentification d'un utilisateur sur un appareil utilisateur
FR2893208A1 (fr) Procede et dispositif de fourniture d'un alias de federation d'identite reseau a un fournisseur de service
FR2888437A1 (fr) Procede et systeme de controle d'acces a un service d'un fournisseur d'acces implemente sur un serveur multimedia, module, serveur, terminal et programmes pour ce systeme
EP4128700A1 (fr) Procede et dispositif d'authentification d'un utilisateur aupres d'une application
FR3128089A1 (fr) Procédé et dispositif de sélection d’une station de base
FR3110262A1 (fr) Procédé et système d’authentification d’un utilisateur auprès d’un serveur d’authentification
FR3031609A1 (fr) Procede de traitement d'une transaction a partir d'un terminal de communication
FR3042362A1 (fr) Moyens de gestion d'acces a des donnees
FR3044192A1 (fr) Procede de distribution de droits sur un service et plateforme de service

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07731721

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07731721

Country of ref document: EP

Kind code of ref document: A1